 |
|
|
 首页 |
名片设计 CorelDRAW Illustrator AuotoCAD Painter 其他软件 Photoshop Fireworks Flash |
|
跨站Script攻击（二） 二、 用E-Mail进行跨站Script攻击 跨站script攻击用在列表服务器，usenet服务器和邮件服务器来得特殊轻易。下面还是以MyNiceSite.com网站为例进行说 明。由于你常常浏览这个网站，它的内容也的确让你爱不爱不释手，因此在不知不觉中你就把浏览器的改成了总是信任这个动态网 站内容的设置。 MyNiceSite.com网站总是通过出售征订它们Email信件的邮箱地址来获得收入，这的确是一种不太好的办法。于是我买了它的 一份邮箱地址。并发了大量的邮件给你们。在信中我告诉你们尽快访问这个网 站，并检查你们帐户使用的最新情况。为了让你们感 到方便，我在这信中也作了链接。我在这链接URL中的username参数中舔加了script代码。有些客户在不知不觉中就点击了这个链 接，也就是说上了我的当(如图)，同时我也从中得到了好处： 它是这样工作的，当你点击这个链接的时后，在链接里的script代码就会引导你所用浏览器去下载我的JavaScript程序并执行 它。我的Script检查到你使用的是IE浏览器后，就着手下载ActiceX控件 particularlyNasty.dll。因为之前你已经把这个网站 的内容认为总是安全的，这样，我的script代码和Active 控件就能在你机器上自由安闲的运行了。 三、 Activex攻击说明 在讨论ActiveX时，CERT和微软都没提到跨站script方式所带来的的危险。W3C在<<安全常见问题解答>>中对ActiveX的安全 问题作了比较详尽的说明。Java applet对系统的控制受到严格限制。SUN开发它时就规定，只有那些对系统的安全不构成威胁的操 作才被答应运行。 在另一方面，ActiveX对系统的操作就没有严格地被限制。假如一但被下载，就可以象安装的可执行程序相同做他们想干的事 情。针对这一特点IE浏览器也作了某些限制，如对于那些不安全的站点，在它的默认设置中就会不答应你进行下载或者会给你警告 的提示。正在基于ActiveX进行开发的公司，如VeriSign公司，它们对ActiveX控件都给编了号。当你在下载控件的时后，IE浏览 器会给你警告并显示它的可信籁程度。由用户决定是否相信这个控件。这样一来系统的安全性就增加了。 但是，对于那些没有多少经验的用户来说，他们往往不自觉地对原来的设置进行了修改，让这些控件在没有任何提示的情况下 就下载了。另外，对一个新手来说，即使在有提示的情况下也会不加思考地下载那些没作任何标记的控件。在我们所举的例子中， 由于你对该站点的信任，改了浏览器的设置，这样，ActiveX控件在不经过任何提示的情况下就下载，并在你的机器上不知不觉地 开始运行。 四、16进制编码的ActiveX Script 攻击 要把专心不良的标签和script区分出来是一件异常困难的事。Script还可以16进制的形式把自己藏起来。让我们看看下面这个 E-mail范例好吗？它是以16进制的形式被发送出去的： 这几乎是一封完整的邮件，里面包含了以16进制伪造的URL参数：sender=mynicesite.com。当用户点击链接时，用户的浏览 器就会直接开始第一例所说的处理过程而弹出警告窗口。 返回类别: 教程 上一教程: 在VC中调用默认的电子邮件程序发送邮件 下一教程: WSH 直接将查询数据结果生成 EXCEL 表 您可以阅读与"跨站SCRIPT攻击(二)"相关的教程: · 温柔的杀手-跨站ASP SCRIPT攻击 · 跨站SCRIPT攻击(一) · 跨站Script攻击（二） · 跨站SCRIPT攻击(三) · 跨站Script攻击（一） |
  |
| 快精灵印艺坊 版权所有 |
首页 会员中心在线印刷在线编辑付款方式索取样品设计指南连锁门店
|
||
