Webmail攻防實戰(7)
Cookie會話跟蹤除了上面提到的安全缺陷外，還存在如下缺點： MC']Pj7W(1)並不是每個瀏覽器都支持cookie，有些用戶為了防止泄露隱私以及從安全性上考慮，可能會禁用瀏覽器的cookie。 [color=#f5fafe][/color] YXT'Yk fe
(2)由於功能限制或者設置有誤，代理服務器不能夠代理cookie，導致通過代理服務器上網的用戶不能登錄進入以cookie進行會話跟蹤的WebMail。 [color=#f5fafe][/color] 6U vb `-] \@
六、URL會話攻擊 [color=#f5fafe][/color] !XJqtMY4n q
一些WebMail係統膽敢在客戶端不支持cookie時拒絕提供WebMail服務，如新浪、搜狐等WebMail係統，而另一些WebMail 係統則視用戶為上帝，使用URL會話跟蹤技術來維護與客戶端交互的狀態，如163.net、263.net、21cn.com等。 [color=#f5fafe]中國[/color]
URL會話跟蹤是把一些標識會話的字符串加在URL裏面，對於客戶端的每一個http連接請求，服務端都會把URL裏的會話標識和它所保存的會話數據關聯起來，從而能夠區分不同的客戶端，以及進行用戶會話跟蹤。下面是在瀏覽器的地址欄裏看到的一些WebMail的URL，看起來會很長甚至有些怪：Z'p!L8iK*p0SA
"M9U VF%}
[table=95%][tr][td][color=#ff0000]以下為引用的內容：[/color]
[url]http://bjweb.163.net/cgi/ldapapp?funcid=main&[/url];sid=HAPGfUDusCLAQSIm
[url]http://WebMail.21cn.com/extend/gb/std/username/[/url]
NV0416qxMftyKnOcavGDktOmIEvPsb/SignOn.gen[/td][/tr][/table]
QH4mr9fP%O
在關閉瀏覽器後，保存在服務器裏的會話關聯數據並不會立即失效，一段時間內WebMail的URL仍然有效，他人只要從瀏覽器的歷史記錄裏找到該URL，就可以點擊進入用戶的WebMail，並不需要任何密碼驗證，所以用戶在退出WebMail時，不應該直接關閉瀏覽器，應該點擊 WebMail上的“退出”來退出，這樣才會清空會話，使WebMail的URL失效，那些在網吧等公共場所上網的用戶尤其要注意這一點。 j\hA5{3p mKJ
如果攻擊者知道WebMail係統的URL會話機制，能猜到WebMail的會話標識，那么就能找到WebMail的URL，在瀏覽器地址欄裏輸入相同的URL就能輕易地進入用戶的WebMail，所以WebMail係統應該使用較長的、隨機的字符串做為會話標識，使攻擊者難以猜測。 [color=#f5fafe][/color] ;OsH d&Az9d5B n
不過，即使WebMail係統的URL會話機制再復雜、會話標識再長，對攻擊者而言，要想獲得用戶WebMail的URL，往往就像探囊取物一般容易。 ?hQm]G
)|GV6Y)^ul
JavaScript程序中的window.location、location.href、document.URL、 document.location、document.referrer等對象屬性都可以用來獲取WebMail的URL，攻擊者只要在html郵件中放入一段腳本代碼就可以獲取URL，並且能偷偷地發送給攻擊者，類似的代碼可以參考“cookie會話攻擊”一節裏的一段演示程序。 x5} z8wY)\%@/QO
[+w/] N{;{a ~ GK
Http協議（RFC2616）裏規定http請求頭域“referer”用於指明鏈接的出處，即指明來自客戶端的這個連接請求是從哪個URI地址提交過來的，例如用戶點擊頁面上的某個鏈接地址後，發出的referer域的內容就是當前頁面的URI地址。CGI編程中的環境變量 “HTTP_REFERER”用於獲取http請求頭域“referer”，下面是一個在Linux下用shell寫的CGI程序： _`*[3aZ
Oe6N3y4{3lQ
bW#KFo [%U
[table=95%][tr][td][color=#ff0000]以下為引用的內容：[/color]$iEah Add
#!/bin/shyC'[ A.Q^.z7t*? zP
#set-f
f ~i(^%B2f:Q Y
echoContent-type:text/plain
echo q'Pp PO3X b
!r*g@5Ab;b4f
#寫入日志，geturl.log文件權限要可寫 cQ,ZW9T!w*G
echo"`date`$REMOTE_ADDR$HTTP_REFERER"＞＞/var/log/geturl.logG`1y A t
#即時通知攻擊者 ^:}/Iq#E9x
wall"`date`收到WebMailurl，請檢查日志" -ki*Z G!H9E
#返回給客戶端的信息，用於迷惑用戶4k7vp"O l#[
echo"你好！"[/td][/tr][/table]C I!d+F"s
z F{I&_ asww
攻擊者把這個CGI程序放在自己的web服務器上，然後把該CGI程序的URL地址以單獨一行放在txt郵件裏發給用戶，URL地址會自動變成鏈接地址，受到欺騙的用戶點擊後，攻擊者就獲得了用戶WebMail的URL。當然攻擊者也可以把CGI程序的URL地址放在html郵件裏做為鏈接地址讓用戶來點擊，或者就用腳本程序或框架技術使這個CGI程序自動運行，或者幹脆把這個CGI程序的URL地址放在html郵件源代碼img元素的src屬性值，雖然顯現不出圖片，但這個CGI程序照樣會收到http連接請求，從而獲得WebMail的URL。 "h#z]I\h
Web服務器的日志記錄也能獲取referer域的內容，以apache為例，在httpd.conf文件中修改或加入如下配置參數：
[table=95%][tr][td][color=#ff0000]以下為引用的內容：[/color] m-`9umi,Wb_ A)Y2Z
LogFormat"%t%h%{Referer}i-＞%U"referer
CustomLog/usr/local/apache/logs/referer_logreferer[/td][/tr][/table]-]&C8eW tm6R7u
這樣對web服務器的每一個http連接請求的referer域的內容都會寫到referer_log日志文件裏去，攻擊者只要分析日志文件就能夠知道用戶WebMail的URL了。WebMail係統如果支持html郵件的話，總不可能會禁止html郵件中使用圖像，攻擊者在發給用戶的html郵件中放入一張src地址在自己web服務器上的圖片，也就能輕易地獲取WebMail的URL。
這樣一來，深懷惡意的攻擊者花點小錢去做郵件服務商提供的WebMail旗幟廣告，廣告的圖片則是放在攻擊者的web服務器上，那么攻擊者就能每天坐收成千上萬用戶的WebMail了
頁:
[1]