网络空间安全:行业资讯、技术分享、法规研讨、趋势分析……

“游侠安全网”创建了网络安全从业者QQ大群(群号:1255197) ,欢迎各位同仁加入!有其它问题如合作等,请联系站长“网路游侠”,QQ:55984512


后门、漏洞与木马杂谈(4)

2013-07-08 19:10 推荐: 浏览: 30 views 字号:

摘要: 作者:南京翰海源CEO 方兴(FlashSky) 版权申明:该文版权属于南京翰海源公司,任何人或单位、网站转载、引用都必须标记南京翰海源公司。否则视为侵权。 引子里的例子的分析 分析下引子里的例子的问题本质,大家往往认为这是协议的问题。当然这是一个协议问题,这...

作者:南京翰海源CEO 方兴(FlashSky)

版权申明:该文版权属于南京翰海源公司,任何人或单位、网站转载、引用都必须标记南京翰海源公司。否则视为侵权。

引子里的例子的分析

分析下引子里的例子的问题本质,大家往往认为这是协议的问题。当然这是一个协议问题,这个攻击是一个变形的自己人攻击,但是传统的中间人要劫持链路,但是这个不需要(当然钓鱼类中间人无需劫持链路,但成功与否取决对方上当否)。传统的中间人要被动等待受害者发起登录,这个也不需要。原因在于:

1.这个协议考虑客户端服务器单向认证为主,用于对等主机间认证,就避免不了b用a自己的挑战问题去问a自己,即使加上ab互联限制(增加主机成abc或更多,就比如多人可以互相提问,b不知道a问题的答案,但可以问c,c把问题提回a,就知道答案),甚至匹配限制最近发出挑战和收到挑战是否一致也解决不了问题(攻击者可以扩展资源为b1,b2,b3……,c1,c2,c3……来混淆比较)

2.为什么自动以当前用户尝试登录?如果用户已经是有b权限的帐号登录了a,就可以少输用户名与口令。同时,win一些域的管理服务肯定也基于这个认证机制,改了兼容问题会很大。

3.再和邮件或网页这种可以由外部发起的数据组合起来,只要用户使用,系统很难识别嵌入外部资源行为是用户授权还是非授权,知晓还是不知晓(攻击可以伪装成一般用户无感,除非专业用户仔细分析),就完成了整个无缝的攻击。

可以看到,除了协议自己的问题,协议实现的问题,兼容性和方便性,行为驱动行为的授权鉴定困难(这个是典型数据驱动系统行为的案例),这些,都是当前it安全较大的问题。这些看起来不起眼的小问题,组合一起,就成了自动快捷的杀器。

联系站长租广告位!

中国首席信息安全官
关闭
关闭