實(shí)例:黑客入侵論壇各種手段曝光 4

sf888

第五招：太公釣魚進(jìn)行跨站腳本攻擊 \r\n\r\n　　 還有一種比較有趣也比較難利用的方法，其實(shí)就是所謂的跨站腳本攻擊。先說一個(gè)有趣的現(xiàn)象，在論壇中流行的UBB代碼中有一個(gè)bug，這對(duì)標(biāo)簽是UBB代碼中經(jīng)常會(huì)用到的，用來引用一個(gè)圖片。在中如果插入的不是圖像而是javascript腳本它同樣會(huì)執(zhí)行！舉個(gè)例子，如假設(shè)你在某論壇中所發(fā)帖子內(nèi)容為：，當(dāng)有人點(diǎn)擊這個(gè)貼子就會(huì)彈出一個(gè)對(duì)話框。 \r\n\r\n　　 如果把上面的內(nèi)容換為：，則點(diǎn)擊后不僅會(huì)彈出一個(gè)對(duì)話框，而且還會(huì)打開一個(gè)新的網(wǎng)頁窗口。如果黑客在這個(gè)網(wǎng)頁里放入網(wǎng)頁木馬會(huì)怎么樣呢？答案是你會(huì)中木馬！不僅如此，利用這個(gè)辦法還可以使論壇中沒有任何權(quán)限的用戶提升為管理員！假設(shè)某論壇加新管理員hacker的url是http://ip/bbs/upadmin?user=hacker，由于這個(gè)url只有以管理員身份執(zhí)行才可以成功，所以你直接在地址欄中輸入是沒有任何用處的。但是利用剛剛提到的跨站腳本攻擊，只要黑客先注冊(cè)一個(gè)名為hacker的用戶，然后新建一個(gè)帖子，在里面寫入：，然后給這個(gè)帖子起個(gè)醒目的主題，如“管理員論壇好像有大漏洞”，來引誘該論壇的管理員來查看此貼，當(dāng)管理員點(diǎn)擊此貼后，hacker這個(gè)用戶就會(huì)提升為該論壇的管理員！同樣的道理，黑客還可以上傳一個(gè)txt附件，txt文件里就是那個(gè)加hacker管理員的url，由于IE瀏覽器存在一個(gè)問題，即只要文件里面含有html代碼就會(huì)執(zhí)行（IE才不理會(huì)后綴名是什么呢），所以論壇管理員只要點(diǎn)此txt附件，就會(huì)在論壇中增加一個(gè)名為hacker的管理員。如果對(duì)[img][/img]之間或txt附件里面的代碼進(jìn)行精心偽造，黑客還可以讓論壇管理員在點(diǎn)擊帖子或txt附件后毫無察覺，所以很難防范。 \r\n　　之所以會(huì)出現(xiàn)論壇或留言板等遭受攻擊，關(guān)鍵是由于有漏洞存在，只要將這些漏洞堵上就沒有問題了。但是許多漏洞的存在是由于論壇或留言板編程時(shí)作者的疏漏所致，作為使用者是較難防范的，我們只能寄希望于作者早日解決這些問題。從這個(gè)角度來說，論壇管理員經(jīng)常給自己的論壇打補(bǔ)丁是必不可少的。應(yīng)該經(jīng)常留心各大黑客組織發(fā)布的漏洞公告，及時(shí)發(fā)現(xiàn)自己的論壇所存在的問題。再有，要嚴(yán)格過濾特殊字符，防止有人利用特殊字符進(jìn)行攻擊。無論是管理員還是論壇中的普通用戶，都建議您能設(shè)置一個(gè)強(qiáng)壯的密碼，并定期更換，以防止別人暴力破解你的密碼。 \r\n\r\n　　針對(duì)論壇數(shù)據(jù)庫被人下載下來然后破解的問題，建議管理員能將論壇的數(shù)據(jù)庫文件改成一個(gè)沒有規(guī)律的復(fù)雜名字，并將擴(kuò)展名由mdb改為asa，如3sdal9eklz9c0ad.asa，3sdal9eklz9c0ad.inc等，有點(diǎn)像用MD5加密過，對(duì)吧？同時(shí)還要將該文件放到深層目錄中，這樣在一定程度上可以減少被人下載的危險(xiǎn)。 \r\n\r\n　　將數(shù)據(jù)庫database.mdb改成#database.mdb，這是最簡(jiǎn)單有效的辦法。我們來解釋一下這樣做的好處：假設(shè)別人得到你的數(shù)據(jù)庫地址串將是：http://www.yourserver.com/yourfolder/#database.mdb，但實(shí)際上他得到是：http://www.yourserver.com/yourfolder/，因?yàn)?在這里起到間斷符的作用，地址串遇到#號(hào)，自動(dòng)認(rèn)為訪問地址串結(jié)束。注意不要設(shè)置目錄可訪問，用這種方法，不管別人用何種工具都無法下載。注：只要數(shù)據(jù)庫文件名任何地方含有\(zhòng)'#\'，別人都無法正常下載。同理，空格號(hào)也可以起到\'#\'號(hào)作用，但必須是文件名中間出現(xiàn)空格。 \r\n\r\n　　另外，還要使用Access軟件來為數(shù)據(jù)庫文件編碼及加密。首先選取 “工具→安全→加密/解密數(shù)據(jù)庫”，選取數(shù)據(jù)庫文件然后確定，接著會(huì)出現(xiàn)“數(shù)據(jù)庫加密后另存為”的窗口，確定后文件就會(huì)被編碼加密。以上的操作并不是對(duì)數(shù)據(jù)庫設(shè)置密碼，而只是對(duì)數(shù)據(jù)庫文件加以編碼，目的是為了防止他人使用別的工具來查看數(shù)據(jù)庫文件的內(nèi)容。接下來還可以為數(shù)據(jù)庫設(shè)置訪問密碼。首先打開經(jīng)過編碼的庫文件， 在打開時(shí)，選擇“獨(dú)占”方式。然后選取功能表的“工具→安全→設(shè)置數(shù)據(jù)庫密碼”，接著輸入密碼即可。這樣即使他人得到了這個(gè)文件，沒有密碼也是無法看到內(nèi)容的。這樣就算黑客知道Access數(shù)據(jù)庫的名字也無法輕易下載，這種方法通常在租用別人服務(wù)器時(shí)使用。最后，建議您在IIS中把數(shù)據(jù)庫所在的目錄設(shè)為不可讀，這樣就可以防止文件被人下載了！ \r\n\r\n　　對(duì)于普通用戶而言，建議大家不要在論壇中留下真實(shí)的聯(lián)絡(luò)方式，如E-mail和QQ等，如果非要留下不可，論壇中你的密碼一定不要和其他密碼相同，免得被人順藤摸瓜，得到你的全部秘密！