My Opera談談「釣魚網站」之三：網釣相關技術及工具
Tuesday, April 17, 2012 8:56:36 PM
網釣相關技術及工具
前文曾經介紹過，「釣魚網站」所涉及的是一連串的入侵、欺騙及盜取的行為。所以，「網路網釣」所涉及的技術也不只一類，從入侵到盜取的每一個步驟都有其所需要的相關技術。並不是《百度百科》在其網站引述個別的「網絡安全技術人員」所認為的技述含量不高。
我們很難將所有相關技術羅列出來，在這裡我們會列出一些有代表性的「網路網釣」的技術以及工具。
「智能轉向」
網絡保安公司RSA於2006年發現有駭客使用稱之為「智能轉向」Smart Redirect的技術來進行「網路網釣」。「智能轉向」的原理是駭客透過入侵大量的網站，部份會用來設置「釣魚網站」，部份會用來方置「智能轉向」的網址。由於只放置「智能轉向」比較容易，駭客會有大量的「智能轉向」的網址，及數量相對較少的「釣魚網站」。之後，透過已入侵的電腦及電郵帳戶，大量發送偽冒電郵，電郵的會放置冒認真網站的連結，而這裡連結，其實是那些預先放置的「智能轉向」的網址。當被騙者點擊這些偽冒的網址，他們會在不知不覺的轉送到那「釣魚網站」。一旦有些「釣魚網站」因被投訴而關閉或被網站的原本的擁有者移除，「智能轉向」的網址的程式放棄被關閉的網站，然後轉向那新仍在營運中的「釣魚網站」。這種技巧會提昇「網路網釣」的成功率。參考：http://latinamerica.rsa.com/press_release.aspx?id=6615
「國際化域名近似字母欺騙」IDN Homograph Spoofing
於2009年10月《網際網路名稱與數字地址分配機構》（ICANN）確實了以國家域名為基礎，以多國不同語言的域名制度。域名不再只限於英文字減號及數字，今天的域名登記制度容許申請人用不同國家的語言來註冊域名。然而在不同的語言之間會出現字型一樣但意思不同的「近似字母」Homograph。例如俄文所用的斯拉夫字母就有多個跟英語所用的拉丁字母有著相同的字型但發音不同的情況，而且，這些「近似字母」除了外表一樣擁有內碼卻是完全不同。希臘文字母當中也有跟英語用的拉丁字母相似；亞美尼亞字母有跟拉丁字母及斯拉夫字母的「近似字母」。利用這些「近似字母」我們可以製造出看似一樣其實是不同的網址。參考：http://en.wikipedia.org/wiki/IDN_homograph_attack
「駭客港灣」商店（The Black Bay）及其駭客工具
2012年2月，網絡安全公司RSA發現一間叫做《The Black Bay》「駭客港灣」商店，它在網上售賣建設「釣魚網站」所需要用到的工具：
PHP Shell﹣PHP Shell是用來入侵別人的網站從而奪取網站的控制權的程式。售價方面：用來入侵美國本土的網站每次收費為2.5美元、美國以外地方收費為4.5美元。
利用HTTP隨道作SSH登入的帳戶﹣這些是已經入侵的網站，在網站內架設了多個沒有Root權限的帳戶。用戶可以利用SSH程式來登入。登入後可以上傳自行製作的網頁。每個帳戶售價為8美元。
Root權限帳戶﹣Root權限帳戶可以用來在已入侵的系統安裝其他駭客工具及設置帳戶。Root權限帳戶售價約為15到30美元。
微軟遠端桌面登入﹣這些是已經被盜取的遠端桌面登入帳號，可以用來發放電郵、架設網站、安裝其他駭客工具等。每個帳戶售價為20元。
控製台﹣可以遙控多於一個已入侵帳戶或伺服器的工具，售價為3美元。
參考：http://blogs.rsa.com/rsafarl/blackhat-tool-shop-is-open-for-business/
「全方位中間人網釣套件」Universal Man-in-Middle Phishing Kit
網路安全公司RSA於2007年1月10日發表新聞稿，他們發現一種新型的「網路網釣」工具。該工具名為「全方位中間人網釣套件」Universal Man-in-Middle Phishing Kit。該套件從被冒仿的網站提取登入的畫面，一旦被騙者信以為真並填寫他的登入名及密碼，將被騙者的真實的資料將會傳送到真的網站，再將真的網站的內容送回使用者，當中的任何資料都會被記錄。由於該套件能配合任何的被冒仿的網站及收集任何的資料，所以被稱為「全方位」（Universal）。參考：http://www.rsa.com/press_release.aspx?id=7667
「標籤頁搶奪」Tabnabbing
駭客入侵或者利用其他手段（例如：SQL注入攻擊）將一些多人瀏覽的網站加入程式，使得一些開啟了很長時間的瀏覽器上的標籤頁自動轉至「釣魚網站」。由於較新的網頁瀏覽器都會加入標籤頁的設計，用戶若加入新的標籤頁或點選另一個標籤頁，用戶無法看到其他標籤頁的變化。被侵入的網頁會按時間或閒置的時間長短，將該標籤悄悄地轉到「釣魚網站」，讓用戶誤以為自己曾到訪該網站，並再一次填寫登入名及密碼，資料會被駭客盜取。 參考：http://en.wikipedia.org/wiki/Tabnabbing
http://www.xn--ruq77z0ocz5j6ql42wgqal97g1dy.asso.hk/%E8%AB%87%E8%AB%87%E3%80%8C%E9%87%A3%E9%AD%9A%E7%B6%B2%E7%AB%99%E3%80%8D%E4%B9%8B%E4%B8%89%EF%BC%9A%E7%B6%B2%E9%87%A3%E7%9B%B8%E9%97%9C%E6%8A%80%E8%A1%93/
前文曾經介紹過，「釣魚網站」所涉及的是一連串的入侵、欺騙及盜取的行為。所以，「網路網釣」所涉及的技術也不只一類，從入侵到盜取的每一個步驟都有其所需要的相關技術。並不是《百度百科》在其網站引述個別的「網絡安全技術人員」所認為的技述含量不高。
我們很難將所有相關技術羅列出來，在這裡我們會列出一些有代表性的「網路網釣」的技術以及工具。
「智能轉向」
網絡保安公司RSA於2006年發現有駭客使用稱之為「智能轉向」Smart Redirect的技術來進行「網路網釣」。「智能轉向」的原理是駭客透過入侵大量的網站，部份會用來設置「釣魚網站」，部份會用來方置「智能轉向」的網址。由於只放置「智能轉向」比較容易，駭客會有大量的「智能轉向」的網址，及數量相對較少的「釣魚網站」。之後，透過已入侵的電腦及電郵帳戶，大量發送偽冒電郵，電郵的會放置冒認真網站的連結，而這裡連結，其實是那些預先放置的「智能轉向」的網址。當被騙者點擊這些偽冒的網址，他們會在不知不覺的轉送到那「釣魚網站」。一旦有些「釣魚網站」因被投訴而關閉或被網站的原本的擁有者移除，「智能轉向」的網址的程式放棄被關閉的網站，然後轉向那新仍在營運中的「釣魚網站」。這種技巧會提昇「網路網釣」的成功率。參考：http://latinamerica.rsa.com/press_release.aspx?id=6615
「國際化域名近似字母欺騙」IDN Homograph Spoofing
於2009年10月《網際網路名稱與數字地址分配機構》（ICANN）確實了以國家域名為基礎，以多國不同語言的域名制度。域名不再只限於英文字減號及數字，今天的域名登記制度容許申請人用不同國家的語言來註冊域名。然而在不同的語言之間會出現字型一樣但意思不同的「近似字母」Homograph。例如俄文所用的斯拉夫字母就有多個跟英語所用的拉丁字母有著相同的字型但發音不同的情況，而且，這些「近似字母」除了外表一樣擁有內碼卻是完全不同。希臘文字母當中也有跟英語用的拉丁字母相似；亞美尼亞字母有跟拉丁字母及斯拉夫字母的「近似字母」。利用這些「近似字母」我們可以製造出看似一樣其實是不同的網址。參考：http://en.wikipedia.org/wiki/IDN_homograph_attack
「駭客港灣」商店（The Black Bay）及其駭客工具
2012年2月，網絡安全公司RSA發現一間叫做《The Black Bay》「駭客港灣」商店，它在網上售賣建設「釣魚網站」所需要用到的工具：
PHP Shell﹣PHP Shell是用來入侵別人的網站從而奪取網站的控制權的程式。售價方面：用來入侵美國本土的網站每次收費為2.5美元、美國以外地方收費為4.5美元。
利用HTTP隨道作SSH登入的帳戶﹣這些是已經入侵的網站，在網站內架設了多個沒有Root權限的帳戶。用戶可以利用SSH程式來登入。登入後可以上傳自行製作的網頁。每個帳戶售價為8美元。
Root權限帳戶﹣Root權限帳戶可以用來在已入侵的系統安裝其他駭客工具及設置帳戶。Root權限帳戶售價約為15到30美元。
微軟遠端桌面登入﹣這些是已經被盜取的遠端桌面登入帳號，可以用來發放電郵、架設網站、安裝其他駭客工具等。每個帳戶售價為20元。
控製台﹣可以遙控多於一個已入侵帳戶或伺服器的工具，售價為3美元。
參考：http://blogs.rsa.com/rsafarl/blackhat-tool-shop-is-open-for-business/
「全方位中間人網釣套件」Universal Man-in-Middle Phishing Kit
網路安全公司RSA於2007年1月10日發表新聞稿，他們發現一種新型的「網路網釣」工具。該工具名為「全方位中間人網釣套件」Universal Man-in-Middle Phishing Kit。該套件從被冒仿的網站提取登入的畫面，一旦被騙者信以為真並填寫他的登入名及密碼，將被騙者的真實的資料將會傳送到真的網站，再將真的網站的內容送回使用者，當中的任何資料都會被記錄。由於該套件能配合任何的被冒仿的網站及收集任何的資料，所以被稱為「全方位」（Universal）。參考：http://www.rsa.com/press_release.aspx?id=7667
「標籤頁搶奪」Tabnabbing
駭客入侵或者利用其他手段（例如：SQL注入攻擊）將一些多人瀏覽的網站加入程式，使得一些開啟了很長時間的瀏覽器上的標籤頁自動轉至「釣魚網站」。由於較新的網頁瀏覽器都會加入標籤頁的設計，用戶若加入新的標籤頁或點選另一個標籤頁，用戶無法看到其他標籤頁的變化。被侵入的網頁會按時間或閒置的時間長短，將該標籤悄悄地轉到「釣魚網站」，讓用戶誤以為自己曾到訪該網站，並再一次填寫登入名及密碼，資料會被駭客盜取。 參考：http://en.wikipedia.org/wiki/Tabnabbing
http://www.xn--ruq77z0ocz5j6ql42wgqal97g1dy.asso.hk/%E8%AB%87%E8%AB%87%E3%80%8C%E9%87%A3%E9%AD%9A%E7%B6%B2%E7%AB%99%E3%80%8D%E4%B9%8B%E4%B8%89%EF%BC%9A%E7%B6%B2%E9%87%A3%E7%9B%B8%E9%97%9C%E6%8A%80%E8%A1%93/
