网络安全研究人员披露一种新型网络攻击，这种攻击利用传输层安全(TLS) 服务器 中的错误配置将HTTPS流量从受害者的Web浏览器重定向到位于另一个IP地址的不同TLS服务端点，从而窃取敏感信息，而静态代码检测有助防范新型TLS 攻击。
研究人员将这种攻击成为“ALPACA”(Analyzing and mitigating Cracks in tls AuThentication)即“应用层协议混淆-分析和减轻tls身份验证中的裂缝”的缩写。
攻击者可以将流量从要给子域重定向到另一个子域，从而产生有效的TLS会话，这打破了TLS的身份验证，可能会出现跨站脚本攻击，其中一个协议服务的行为可能会在应用层危及另一个协议。
TLS作用
TLS是一种加密协议，用于在两个通信应用程序之间提供保密性和数据完整性。支持多种应用层协议，如HTTPS、SMTP、IMAP、POP3 和 FTP以保护网络通信安全，该协议由两层组成： TLS 记录协议(TLS Record)和 TLS 握手协议(TLS Handshake)。
TLS记录协议提供的连接安全性有2个基本特性：
ALPACA攻击如何实现?
网络安全研究人员称，ALPACA攻击之所以可以实现，因为TLS没有将TCP连接绑定到预期的应用层协议上。因此，TLS未能保护TCP连接的完整性，可能被滥用为将预期的TLS服务端点和协议的TLS通信重定向到另一个替代的TLS服务端点和协议。
由于客户端使用特定协议打开与目标服务器(如HTTPS)的安全通道，而替代服务器使用不同的应用层协议(FTP)并在单独的TCP端点上运行，因此发生混淆从而导致所谓的跨站脚本攻击。
目前，发现至少3中假设的跨站脚本攻击场景，攻击者可以利用这些场景来绕过TLS保护，并攻击FTP和电子邮件服务器，但攻击的前提是攻击者能够在TCP/IP层拦截和转移受害者的流量。
简单来说，攻击采取中间人(MitM)方案的形式，其中攻击者诱使受害者打开他们控制的网站以发出带有特制FTP负载的跨域HTTPS请求，然后将此请求重定向到使用与网站兼容的证书的FTP服务器，最终形成有效TLS会话。
因此，TLS服务中的错误配置可以被利用来将身份验证cookie或其他私有数据泄露到FTP服务器(上传攻击)，在存储的跨站脚本攻击中从FTP服务器检索恶意JavaScript负载，甚至在受害者网站的上下文中执行反射跨站脚本攻击。
新型网络攻击影响
预计所有证书与其他TLS服务兼容的TLS服务器都将受到影响。在实验设置中，研究人员发现至少有140万台web服务器容易受到跨协议攻击，其中114197台服务器被认为容易受到攻击，它们使用可利用的SMTP、IMAP、POP3或FTP以及可信和兼容的证书。
关于跨站脚本攻击
除了以上攻击类型，常见跨站脚本攻击一般是系统漏洞产生的。攻击者在Web页面插入恶意代码，当用户浏览网页时，嵌在Web里面的代码会被执行从而实现跳转造成信息泄露或其他恶意行为。这些漏洞可能会允许攻击者窃取cookie、记录键盘敲击、捕捉屏幕截图、发现和收集网络信息，以及远程访问和控制受害者的设备，造成的影响无法估计。
跨站脚本攻击是OWASP Top10中第二普遍问题，存在于三分之二的应用程序中。但其实跨站脚本攻击很容易被预防，只要在开发阶段通过静态代码检测技术就可以发现，问题在于开发人员此时是否意识到代码安全检测的重要性。
静态代码安全检测技术和漏洞扫描、防火墙、入侵检测系统互相配合，能够有效提高网络的安全性。通过静态代码检测可以在开发阶段对所有代码缺陷实时查找并修复，如果说防火墙和网络监视系统是被动的防御手段，那么静态代码检测就是一种主动的防范措施，能有效查找系统漏洞避免黑客攻击行为，做到防患于未然。
参读链接：
怎么看出钓鱼网站啊
网络钓鱼伎俩不外乎下面几种： URL欺骗最普遍 刘慧宇老师说，URL欺骗是网络钓鱼最普遍的一种形式，即通过一定的技术手段构建虚假的URL地址，给用户造成错觉以为是在正确的网站上。 目前常见的构建虚假URL的方式有三种。 1、显示文字和链接地址不同 例子：网络 以上代码的作用是使得用户在网页或邮件中看到显示的是“网络”，实际上是链接到Google的网站上。 识别这类欺骗还是比较简单的，只要将鼠标移动到链接上，就可以在状态栏中看到实际的链接地址。 2、把两个URL和一个表格插入到HTML的href标记中 例子：Google 这类欺骗很难识别，你在网页中看到的网址是Google，即使你把鼠标移动到链接上，在状态栏上看起来依然链接到www．google．com的网站上，可是一旦你单击该链接你才发现，你链接到的是网络的站点。 用户在上网过程中要时常注意地址栏上的URL变化，一旦发现地址栏上的域名发生变化就要提高警惕，只有这样才能有效避免被钓。 3、利用IE的语法错误 例子：网络 在许多没有打过补丁的计算机中，如果把URL地址写成“http：／／www．baidu．com＠www．redhat．com／”或者“http：／／www．baidu．com＠／”，通过链接栏和地址栏都将看到你链接的是http：／／www．baidu．com，可实际上显示的页面内容是http：／／www．redhat．com，很难想像用户遇到这样的链接会不上当。 目前用户能做的就是尽快地给升级系统或打上补丁。 利用跨站脚本漏洞窃取信息 所谓的跨站脚本就是攻击者利用合法网站服务器程序上的漏洞，在站点的某些网页中插入危险的HTML代码，窃取用户信息。 克隆网站成骗钱捷径 由于制作一个网站的成本很低，造假者使用假身份证花几百元很容易申请到一个域名，并租到服务器空间。 1、URL地址克隆 使用和真实网址非常相似的域名，如：中国农业银行的互联网地址是“www．．cn”、“easyabc．．cn”、“www．abc．com”、“www．e．com”。 近日出现的www．．cn（该网站已被查封）和www．．cn只有一字之差，然而却是天壤之别。 2、页面形式内容克隆 在假冒网站上使用正规网站的LOGO、图表、新闻内容和链接，惟一区别之处是输入的账号的位置，一旦用户登陆网站，很难通过一般的常识来区别哪个是正规的网站，哪个是假冒网站。 做好预防避免上当 其实最好的自我保护方式不需要多少技术，可从链接来源和使用场合等方面来预防。 1、链接来源 1） 对于银行发来的手机短信，应认真核实短信的来源，如涉及到账号问题要和银行进行电话确认。 2） 对要求重新输入账号信息，否则将停掉信用卡账号之类的邮件不予理睬。 3） 不要回复或者点击邮件的链接，如果你想核实电子邮件的信息，可以使用电话联系。 4） 若想访问某个公司的网站，使用浏览器直接访问，输入网址前，有必要确认网址的来源。 点击邮件中的链接、短信即时通信工具如QQ、MSN都是不可取的。 5）如果一个网址中含有“＠”符号，应该意识到，一般网址是完全没有必要使用“＠”符号的，因此不要使用这个网址。 2、网上银行安全使用技巧 一个简便的方法可帮你安全地使用网上银行，现以中国工商银行的网站为例进行介绍。 进入网上银行后，在看到输入框时，不要急于输入信息，此时要检查IE是否启用加密链接（看看是不是有小锁的图标），并检查证书是否有效（双击小锁图标，打开“证书”界面，查看其有效期），最好还要检查证书是否与地址栏的地址相匹配（在“证书”界面中选择“证书路径”，并查看“证书路径”最后一项是不是与地址栏中的地址一致）。 如果其中一项不符合，那么就要小心了。
什么是phpinfo xss跨站脚本攻击漏洞?
说明： php是一款被广泛使用的编程语言，可以被嵌套在html里用做web程序开发。 phpinfo()是用来显示当前php环境的一个函数，许多站点和程序都会将phpinfo放在自己的站点上或者在程序里显示，但是phpinfo里存在一些安全问题，导致精心构造数据就可以产生一个跨站脚本漏洞，可以被用来进行攻击。 漏洞成因： phpinfo页面对输入的参数都做了详细的过滤，但是没有对输出的进行charset的指定，而在一些浏览器里如IE7里，你可以让它自动选择编码或者通过一个iframe页面给它指定编码，这样就可以饶过phpinfo的过滤而产生一个跨站脚本漏洞。
cookie和session的的区别以及应用场景有哪些
cookie和session的区别如下：1、session保存在服务器，客户端不知道其中的信息；cookie保存在客户端，服务器能够知道其中的信息。
2、session中保存的是对象，cookie中保存的是字符串。
3、session不能区分路径，同一个用户在访问一个网站期间，所有的session在任何一个地方都可以访问到。
而cookie中如果设置了路径参数，那么同一个网站中不同路径下的cookie互相是访问不到的。
4、session需要借助cookie才能正常
发表评论