站内搜索: 请输入搜索关键词

当前页面: 开发资料首页业界新闻小心,钓鱼式攻击来了

小心,钓鱼式攻击来了

摘要: 大家小心,别上了这个“姜太公”的鱼钩!钓鱼式攻击是企图通过官方外观的电子邮件,即時通訊、网站等,冒充真正需要信息的值得信任的人,欺诈性地获取敏感的个人信息(比如口令和信用卡细节)的行为。它是社会工程攻击的一种形式。google和微软IE都曾经是其受害者。
小心,钓鱼式攻击来了


一、google成为受害者?

安全研究人员于10月10日表示,Google已经修正了其网站上的一处安全缺陷,该缺陷为钓鱼式攻击、帐户挟持等攻击打开了大门。

据发现该缺陷的安全厂商Finjan公司称,这一跨站点脚本缺陷存在于Google的AdWords 广告计划和客户培训网站上。黑客可以利用该缺陷挟持Google的帐户、发动钓鱼式攻击,甚至能够在用户的计算机上下载恶意代码。

钓鱼式攻击旨在诱惑用户透露用户名、密码、信用卡详细资料、社保号等机密信息。

Finjan于上个月底向Google通报了这一缺陷,Google在30个小时内就修正了该缺陷。Finjan的副总裁莉摩尔说,Google的响应非常积极。 Google的证实说,它提前得到了警告,并修正了该缺陷。没有用户资料被泄露,我们对Finjan披露缺陷的方式表示赞同。

据Finjan称,该安全问题存在的原因是,Google网站上的表单没有对输入的数据进行验证和过滤,这使得黑客能够注入在用户计算机上运行的内容和代码。为了利用这一缺陷,黑客必须伪造一个Web 链接,并诱惑用户点击它。

莉摩尔说,这一缺陷的危险之处就在于,黑客设计的链接与真正的Google链接非常想象。

跨站点脚本缺陷非常常见。今年早些时候,Finjan在微软的Xbox 360 Web网站上发现了一个类似的缺陷。在早些时候,Finjan还发现了雅虎基于Web 的电子邮件服务中的缺陷。

Finjan开发了对网站进行扫描,发现其中缺陷的工具,它经常对流行的网站进行测试。莉摩尔指出,我们这样做的目的是鼓励厂商改进它们的产品。

在修正这一跨站点脚本缺陷后,Google Web网站被Finjan认为是安全的。莉摩尔说,我们发现,Google网站的其它部分不容易受到攻击,至少不存在跨站点脚本缺陷。我们将继续监测该网站。

二、什么是钓鱼式攻击?

钓鱼式攻击是企图通过官方外观的电子邮件,即時通訊、网站等,冒充真正需要信息的值得信任的人,欺诈性地获取敏感的个人信息(比如口令和信用卡细节)的行为。它是社会工程攻击的一种形式。

三、可能还会有更多的鱼上钩?

微软公司已经悄悄地将IE 7中的一项安全功能“后向兼容”进IE 6中。

IE 7中的“微软钓鱼过滤器”也将出现在IE 6中,但必须通过一个MSN Search Toolbar插件。β测试版的IE 6版插件可以在Windows XP SP2上运行,大小约为1.3MB,可供用户免费下载。

微软的经营战略经理萨曼塔表示,这一插件使用了与IE 7中相同的后端钓鱼式攻击保护技术。她说,面向每种产品的实现会略有不同,但基本技术是一样的。这二种实现都是由MSN部门的微软安全保障小组开发。

这二种实现会使用户的体现略有不同。在面向MSN Toolbar的实现中,被诱惑访问已知钓鱼式网站的IE用户将被自动地禁止在网站上输入个人资料;在面向IE 7的实现中,IE用户会被自动地带离钓鱼式攻击站点,引导到一个新网页。

这一许可自赛门铁克的反钓鱼式攻击技术,利用客户端的白名单和服务器端黑名单,判断一个网站是否要窃取用户的资料。在IE 7版的实现中,如果过滤技术被打开,用户访问的每个不在白名单中的URL都会被发送到微软的服务器进行检查;在插件版的实现中,该技术将成为可疑网站的 “预警系统”,将提供二种级别的警告。

如果一个人访问的网站被肯定在钓鱼式攻击网站名单中,插件会在网页上显示一个红色警告条,并阻止用户输入个人资料。如果网站包含有钓鱼式攻击网站中常见的词语,但没有出现在黑名单中,插件会在网页上显示一个黄色警告条,警告用户这可能是一个钓鱼式攻击网站,用户可以继续访问该网站,也可以关闭浏览器。


↑返回目录
前一篇: JBoss 和 Microsoft 联姻
后一篇: 高盛:盛大已进入衰退期