成人国产在线小视频_日韩寡妇人妻调教在线播放_色成人www永久在线观看_2018国产精品久久_亚洲欧美高清在线30p_亚洲少妇综合一区_黄色在线播放国产_亚洲另类技巧小说校园_国产主播xx日韩_a级毛片在线免费

資訊專欄INFORMATION COLUMN

一起來寫個釣魚站點

skinner / 3711人閱讀

摘要：雖然這篇文章的標(biāo)題是一起來寫個釣魚的站點但是希望僅僅把它當(dāng)作飯后的談資就好切不可在實際生活中真正的使用。而這里我們利用種認(rèn)證的方式來釣魚。

雖然這篇文章的標(biāo)題是一起來寫個釣魚的站點,但是希望僅僅把它當(dāng)作飯后的談資就好,切不可在實際生活中真正的使用。不然,網(wǎng)絡(luò)警察到你家查你水表的時候,我可不負(fù)責(zé)任啊。而實際上要真心做到對應(yīng)的效果很難,只是作為安全知識的入門學(xué)習(xí)。
閑話少說,還是直接進(jìn)入主題吧。這里是需要實現(xiàn)的一些工具的清單:

PHP 5.x及以上版本

1個現(xiàn)代的瀏覽器,不要拿IE6這樣老古董的瀏覽器出來,會死人的

Apache還是Nginx隨意,能用就好

一款文本編輯器,比如記事本

工具都準(zhǔn)備妥當(dāng)了,那么就直奔主題了哦。老司機(jī)要開車了,要坐好扶穩(wěn)了。
在Web中釣魚的方式有很多方式,不過這個名字還是源自生活,此時聯(lián)想到在長江邊垂釣的場景,滾滾長江東逝水...。
萬事俱備只欠東風(fēng),工具都準(zhǔn)備好了,現(xiàn)在還缺的就是魚了。魚從哪里來,自然就是從受害者身上謀取啦。而這里我們利用1種401認(rèn)證的方式來釣魚。

實現(xiàn)過程

首先,我們新建1個index.php的腳本,其內(nèi)容類似如下:




    
    首頁


    
首頁

內(nèi)容簡單的很,實際上真正有用的就是這么一行:

我們使用腳本的方式異步請求php的1個腳本。搞技術(shù)的要求能舉一反三,我見過一些信息安全人員,除了會寫POC外和使用一些工具外,對應(yīng)的原理是一竅不懂的。甚至為什么可以這樣做是一問三不知的。
很多人以為黑客是群很聰明的人,實際不然,不排除這里面有一些所謂的腳本小子,整天復(fù)制搞破壞的。
閑外話還是少說,如果你覺得上面的script標(biāo)簽有點礙眼,你完全可以換,比如換成link、img等標(biāo)簽完全都是可以的。這就是舉一反三的能力吧,畢竟真實場景中很少有剛好就那么巧可以被利用的。
而test.php中的內(nèi)容類似如下:



我們判斷當(dāng)前服務(wù)器中是否存在鍵名HTTP_AUTHORIZATION,如果不存在則直接拋出1個401的認(rèn)證請求頭。而瀏覽器獲取到該401狀態(tài)后,會自動彈出1個對話框要求使用者輸入用戶名和密碼。  
如果使用者按照我們劇情的安排輸入了用戶名和密碼,那么我們就成功釣到了1條(人)魚。  
需要注意的是,這里我們使用的是Basci認(rèn)證,而不是HTTP中另1個Digest的認(rèn)證。不然到時傳遞過來的是MD5的結(jié)果,還需要花費(fèi)時間解密,得不償失。  
眼尖的你可能發(fā)現(xiàn),我們使用的是Base64解碼函數(shù)base64_decode。沒錯,Basic認(rèn)證的用戶名和密碼會使用Base64進(jìn)行編碼,直接獲取到其內(nèi)容進(jìn)行解碼即可,是不是很簡單。  
在這里,我們將其存入到session中,以便可以在前端顯示,這樣就可以看到效果了。而更多情況下,是直接存儲到文件或數(shù)據(jù)庫中,接著搞不好就拿著這些賬號去登錄你的銀行卡。  
為了看出效果,我們在index.php中添加如下幾行代碼:



演示過程

下面是演示的效果過程,首先是訪問首頁:  




然后入套,輸入自己的用戶名和密碼:  




魚上鉤了,被釣了起來:  



結(jié)語

看到,你可能會罵娘了。這么簡單的東西,搞得這么神秘兮兮。  
實際上,原理的東西總是很簡單的,重要是組合利用。如果讓自己隱匿的更深一些,還有更具誘惑性才能讓獵物上鉤。而釣魚的過程不就是利用如下幾個切入點:



誘餌味道做的很不錯


魚鉤藏匿在誘餌里面


魚肚子餓了


魚發(fā)現(xiàn)誘餌味道很不錯,就咬了一口



結(jié)果魚就上鉤了。而人之所以會被釣的過程主要還是如下幾個情況:



用戶安全意識薄弱,過于盲目相信瀏覽器


瀏覽器廠商相關(guān)安全沒有做好,致使用戶受害


腳本小子頁面做的很不錯,真假難辨



當(dāng)然不排除還有其他一些情況,實在想不出來了,腦洞太小。  
當(dāng)然上面這么丑陋的網(wǎng)站,百分百是釣不到魚的。

文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請注明本文地址：http://systransis.cn/yun/31806.html

相關(guān)文章

  • 關(guān)于SSL證書10大統(tǒng)計數(shù)據(jù)

    摘要：僅在美國，證書的數(shù)量就高達(dá)張。排名第二的德國只有張證書。到年，證書市場預(yù)計將達(dá)到億美元根據(jù)的一份報告，全球證書授權(quán)市場將以的復(fù)合年增長率從年的萬美元增長到億美元?？紤]到這項調(diào)查已過去了年，現(xiàn)今的數(shù)據(jù)預(yù)計達(dá)到了。 1. 已有1.57億張SSL證書應(yīng)用于互聯(lián)網(wǎng) 根據(jù)BuiltWith的數(shù)據(jù)，截至2021年2月18日，檢測到在互聯(lián)網(wǎng)上已有超過157,605,195億張SSL證書，這幾乎...

    zhichangterry 評論0 收藏0

  • 關(guān)于SSL證書10大統(tǒng)計數(shù)據(jù)

    摘要：僅在美國，證書的數(shù)量就高達(dá)張。排名第二的德國只有張證書。到年，證書市場預(yù)計將達(dá)到億美元根據(jù)的一份報告，全球證書授權(quán)市場將以的復(fù)合年增長率從年的萬美元增長到億美元。考慮到這項調(diào)查已過去了年，現(xiàn)今的數(shù)據(jù)預(yù)計達(dá)到了。 1. 已有1.57億張SSL證書應(yīng)用于互聯(lián)網(wǎng) 根據(jù)BuiltWith的數(shù)據(jù)，截至2021年2月18日，檢測到在互聯(lián)網(wǎng)上已有超過157,605,195億張SSL證書，這幾乎...

    tomato 評論0 收藏0

  • 全球HTTPS時代已來，你跟上了嗎？

    摘要：而未來的互聯(lián)網(wǎng)網(wǎng)絡(luò)鏈路日趨復(fù)雜，加重了安全事件發(fā)生。蘋果強(qiáng)制開啟標(biāo)準(zhǔn)蘋果宣布年月日起，所有提交到的必須強(qiáng)制開啟安全標(biāo)準(zhǔn)，所有連接必須使用加密。最后是安全意識。 互聯(lián)網(wǎng)發(fā)展20多年，大家都習(xí)慣了在瀏覽器地址里輸入HTTP格式的網(wǎng)址。但前兩年，HTTPS逐漸取代HTTP，成為傳輸協(xié)議界的新寵。?早在2014年，由網(wǎng)際網(wǎng)路安全研究組織Internet Security Research Gr...

    hss01248 評論0 收藏0

  • “以假亂真” 網(wǎng)絡(luò)釣魚活動巧妙使用 UPS.com XSS 漏洞分發(fā)惡意軟件

    摘要：此漏洞允許威脅行為者通過遠(yuǎn)程工作人員分發(fā)惡意文檔，但使其看起來像是直接從下載的。目前顯示，的跨站漏洞已經(jīng)修復(fù)。而以上釣魚攻擊利用的是中第二普遍的安全問題，存在于近三分之二的應(yīng)用中。 .markdown-body{word-break:break-word;line-height:1.75;font-weight:400;font-size:15px;overflow-x:hidde...

    KoreyLee 評論0 收藏0

發(fā)表評論

0條評論

skinner

男|高級講師

TA的文章

閱讀更多
最新活動
閱讀需要支付1元查看
<