雷达智富

首页 > 内容 > 程序笔记 > 正文

程序笔记

常见安全误区和黑客手段

2024-09-25 8
常见的安全误区 黑客、网络安全只存在于虚拟世界 如果我说以后黑客不但可以控制你的汽车开窗、刹车,甚至还能远程“强奸”,你信吗? 许多初创公司,有基于互联网的Sex应用。杜蕾斯公司也有一款Sex over Internet产品叫做Fundawear。如果这个产品出了安全问题或者协议缺陷,被黑客劫持了连接,实现中间人攻击,会出现什么样的后果? 360公司最近发现了时下最火的电动汽车Tesla Model S的安全漏洞。根据资料,该漏洞存在于汽车的应用程序流程中,黑客利用这个漏洞,可远程控制车辆,实现开锁、鸣笛、闪灯等操作,甚至可以使行驶中的车辆开启天窗。也许在不久的将来,Tesla会被破解得更完全,攻击者可以远程获取到更大的权限,做更多事情。 类似的场景会越来越多,把你的热水器远程调到80度,把家中的煤气阀门打开,关掉身上的某些医疗器械。在不久的未来,安全会渗透到生活的各个方面,甚至直接威胁生命,需要引起足够的重视。 我的程序部署在内网,没事儿 有人会说,我这个网站是部署在办公网内部的,完全不提供对Internet的访问,而且在办公网入口还有防火墙,完全不需要对这些系统做保护,也不需要修补漏洞,因为它根本就不会被访问,更不会被入侵。我只能说,太天真——攻击者的猥琐是无法形容的。 前不久支付宝举办的“天下无贼”安全大会,著名网络安全研究员superhei做了名为“走向内网的邪恶之路”的主题演讲,直接在外网盲打入侵内网获取权限。基本原理是使用JRE或者WebRTC获取私网IP地址段,然后通过CSRF(跨站请求伪造)让内网的用户在访问网站时遍历内网IP段,发起POST请求,直接入侵反弹出Shell给入侵者。 可见,在内网并不足以保证自身的安全。入侵者甚至不需要知道你的应用的具体位置,暴力盲打即可。 我的系统打上了所有的补丁,不会被入侵 这一点是最不可思议的,系统打了所有的补丁,还会被轻易入侵?是的! 一般的家庭都使用无线路由器让多个设备共享网络。这些无线路由器,多多少少都有一些安全问题,如弱密码、CSRF漏洞之类,攻击者可以通过这些漏洞修改路由器的DNS设置,让上网的终端在解析域名时访问恶意网站。也许有人会说,恶意网站最多挂马或是钓鱼,我打上了所有的补丁,智商也高,你黑客能奈我何?天真,黑客的智商也很高。 有个黑客工具叫EvilGrade。顾名思义,就是一个专门用来欺骗客户端的软件,让人以为自己有新版本或补丁可以升级的框架,它支持自定义插件,以及数百种客户端程序,如VMware、JRE、EditPlus、Flash等。当黑客劫持了DNS,你使用着打全了补丁的操作系统打开EditPlus准备编码时,它突然提示你有新版本要升级,点一下确定,就开始下载安装木马,再然后…… 密码用MD5加密了,拖了库也没关系 MD5是最常见的单向Hash算法之一,为了安全起见,某些机密数据,例如用户密码会使用MD5加密后存储。由于MD5算法不可逆,有些人就认为MD5加密后的数据绝对安全。其实完全不是这样。早在几年前,攻击者就通过使用彩虹表的方式,以空间换时间,增加对MD5、SHA之类算法的破解能力。 结合GPU运算,对MD5之类Hash算法的破解时间,已缩减到非常短了。大约1000万条MD5加密后的密码,在24小时之内就可以破解90%左右,甚至达到96%以上。为了解决这些问题,一般使用SALT的方式增强安全性。但可惜的是,增强之后的算法依旧风险多多,有攻击者直接使用云计算提供的GPU计算能力,构建集群来破解。 另外,撞库的情况越来越多。最近几年非常多的大型网站用户库被黑客窃取,有的黑客拥有几十亿条数据的庞大信息库。他们通过手机号码、邮件地址等信息,直接在这个库中检索,再去其他网站登录。一般的人常用密码就那么几个,这种撞库攻击非常难以防范,加密算法根本无能为力。 交易使用了短信验证码,绝对可靠 在涉及修改密码、金钱交易的场合,大家喜欢使用短信验证码认证身份。其实,这并不是一个非常可靠的方式。 首先,现在的智能手机操作系统复杂,本身就存在植入木马的风险。短信等信息,直接就在木马的监控之下,攻击者可以直接完成操作,甚至通过截取的方式让短信只有木马能看到,直接在后台偷偷完成了操作,机主都不知情。其次,有的短信验证码长度不够,只有3、4个数字。攻击者甚至通过暴力破解的方式,尝试1万次,就能成功完成操作。以现在的网速,1万次网络提交根本花不了多少时间。 对于类似的系统,一定要有专业的风控手段配合,单一的手机验证码维度不足以保证系统安全。 主流攻击方式 黑客攻击,最开始是单纯地入侵服务器,篡改网页。近些年,攻击目的逐步向偷取数据、抓取信息、敲诈勒索等方面转移,以赚钱为主。攻击的目标也从服务器转移了相当大的一部分到手机等移动设备,或者个人电脑甚至是家用路由器。 入侵方面,我们分析了相当多的案例,也对整个互联网做过扫描统计,发现绝大多数的入侵行为还是由非常简单的攻击方式发起的,即系统弱口令和Web攻击。系统弱口令主要是指Linux服务器的SSH弱口令、Windows的终端服务弱口令,还包括一些第三方软件,例如MySQL数据库、SQL Server数据库等。Web攻击则以SQL注入和远程文件包含、任意文件上传漏洞为主。除此之外,攻击者也使用类似CSRF这样的手段,攻击家用无线路由器,篡改DNS信息。攻击者自己实现完整的入侵框架,对互联网做大范围的扫描实现全自动入侵,为后续的劫持流量展示广告、赚取交易佣金做准备。 大范围入侵的另一方面是所谓APT(高级持续性威胁)攻击,它与大范围的入侵相反,注重目标的专一性以及隐蔽性。攻击者接到任务后盯住一个目标,尽可能全面地收集所有数据,如系统版本、应用类型、邮件地址等,每爆发一个与目标应用相关的新漏洞时,攻击者马上就会尝试是否可以利用。社会工程学、邮件钓鱼、直接上门攻击无线网络,无所不用其极。 在入侵的同时,也有一部分人专注于非入侵式攻击,直接抓取数据就可以卖钱。在这个领域,主要是自动化的爬虫抓取,也有的利用应用的水平权限漏洞获取更多机密资料。随着攻防双方的对抗,爬虫也由简单的Socket、HttpClient库爬虫,逐步进化到WebKit内核爬虫、V8引擎爬虫之类的高端形态,以绕过防御方使用的JavaScript等策略。 敲诈勒索方面的攻击,主要是DDoS。攻击者挑选游戏私服、页游、手游等挣钱行业,以DDoS拒绝服务为手段发起要挟。这些攻击,有的是依靠大范围入侵获取的傀儡机,有的是使用NTP反射放大之类灵巧的手段。 更新于:8天前
赞一波!

文章评论

评论问答