Web应用客户端木马战情景分析

核心提示： 现在，如果受害者早已登录到银行，Web应用客户端木马战情景分析(4)，而该银行也接受此类表单，那么该用户就会在毫不知情的情况下把钱转到攻击者的帐户上，而这些HTML代码将自动提交转帐请求，受害者一旦上钩，当然攻击者也可以利用此特权给别人栽赃，要做到这一点

现在，如果受害者早已登录到银行，而该银行也接受此类表单，那么该用户就会在毫不知情的情况下把钱转到攻击者的帐户上，当然攻击者也可以利用此特权给别人栽赃。

要做到这一点，受害者必须已经登录到目标站点，否则攻击者也无可奈何。然而，如果用户选择了“记住密码”选项，那么他就会一直处于登录状态。如果目标站点是一个基于域认证(例如Microsoft IIS上的NTLM)的内部网的话，情况同样如此。幸运的是，银行之类的“严肃”站点却不会提供自动认证——攻击者也许以为这很“不幸”。

如果该用户没有总处于登录状态的话，那么攻击者就必须在诱骗用户浏览恶意的HTML之前，首先以某种方式设法让受害者先登录到目标站点。对于那些允许用户添加内容的站点(如论坛)来说，这可能很容易：只需添加一个非常诱人的声明来邀请人们查看一个链接即可。然而，很多情况下，攻击者是无法在目标站点上插入消息的，这样的话，他就不得不另外想辙了，这时，社交工程恐怕就能派上用场了!比方说，我们的目标站点是一个名为bank.example.com的银行，攻击者想要设法先让用户登录该银行，继而诱骗该用户浏览上面的转账表单。

为此，攻击者可以向受害者发送一封貌似来自该银行的电子邮件，如：

To:受害者

From:security@bank.example.comSubject:紧急通知，请立即拆阅！

尊敬的客户：您好！

根据入侵检测系统的报告，我们怀疑您的帐户受到恶意攻击，所以恳请您协助我们对您的帐户进行调查。务请收到本通知后，立即登录您的帐户，并于登录后单击下面的链接：http://bank.example.com@167772161/check.html

在此之后，请按照提示操作即可。对于给您造成的不便，我们深感歉意！并顺祝商祺！XX银行紧急响应小组，敬上

大多数用户会都认为其中这个URL指向的是该银行的Web服务器，但事实并非如此。使用@符号后，这个URL实际上是命令浏览器以用户名bank.example.com连接到站点167772161。这个长整数167772161实际上就是攻击者的IP地址10.0.0.1，只不过现在已经编码为一个32位整数而已;而check.html则是一个包含HTML代码的页面，而这些HTML代码将自动提交转帐请求。受害者一旦上钩，攻击者就会发一笔横财。