网络安全现状

图片发自作者發姨

很多人认为“黑客”这个词具有贬义,实际上黑客却在推动计算机不断进步方面功不可没,黑客与安全技术密不可分。如果好坏善恶需要明确的词语来划分的话,那么善意的黑客我们称为白帽黑客,恶意的黑客则被称为黑帽黑客。俗话说“攻防不绝对,技术无黑白”,好坏要看使用者自身。

放眼当下,大多数人对黑客的认识还停留在“破坏”与“入侵”等词汇上,造成这种现象的原因,一方面,大众往往无法直接接触黑客群体,仅在影视作品中了解过黑客,殊不知,影视作品多有夸张成分。另一方面,新闻媒体对黑客的报道也略有偏颇,新闻内容有时实在是夸张至极,充斥着添油加醋之后用以吸引眼球的文字。

一、不得不防

对于网络安全以及黑客技术这块领域,很多人往往感到不知所措、前进困难,这时就出现了一些不怀好意的人,利用各种各样的手段欺骗他人,我们现在就来剖析一下这些常见的现象。

1、防范各种骗子

初学者不了解黑客的世界,却又不断尝试接触,这时,不怀好意的人就会乘虚而入,利用初学者对于黑客的不了解,自称黑客高手,说出一些看似高深的名词,骗取初学者的信任,并要求其缴纳“学费”,这种行为与诈骗无异。但由于取证困难,骗子很难得到惩罚,这更加助长了他们的嚣张气焰。

在此,介绍一些识别骗子的方法,各位可以作为参考,或告诉身边对黑客技术感兴趣的初学者,提高警惕,谨防上当受骗。

(1)所谓黑客

很多时候,骗子们会在各种社区、论坛或是社交网站上发布类似于“黑客收徒”的信息,往往伴随着“技术列表”,如图1所示。


图片发自作者發姨

这是一种典型的骗术,可能那些人对所列举的技术仅仅是知道名字而已,有时打出的“特价收徒”则满足了一些人贪图小利的性格,使其上当受骗。除此之外,试想,如果这个人的技术真的如此高深,为什么还会为了几十元钱而到处散布“收徒信息”,张口闭口就是“收钱”呢?真正的技术大牛应该是抓紧时间研究技术,提升自己。另外,想纠正一个普遍存在的认识错误:“盗号”很简单。试想,如果盗号真的如此简单,那让腾讯、阿里巴巴这些大公司的技术人员情何以堪?就算真的有人拥有这样的技术,他也不会为了一些可笑的理由去盗取别人的社交账号的。

(2)不要随意运行不明程序

有一些骗术手段更加隐蔽,以发送“黑客软件”为借口,给没有防备的新手发送木马软件,窃取信息,甚至让你的计算机在无声无息中沦为“肉鸡”(受黑客远程控制的计算机)。

(3)不要被看似“黑客”的东西蒙蔽

很多新手对黑客感兴趣是因为“觉得很酷”,正因如此,骗子们往往会用一些很酷的东西来吸引别人。例如“匿名者”以及“V字仇杀队”,“匿名者”黑客团队给人留下的印象就是“酷”和“神秘”,也难怪很多骗子打着“匿名者”的幌子招摇撞骗了。

还是那句话,真正钻研技术的人是不需要这些表面功夫的。用社交网络上夸张的头像等信息来彰显自己“黑客”身份的人,大多数是骗子或“娱乐圈”人士。

(4)黑客“娱乐圈”

娱乐圈在我们的社会不可或缺,但在网络安全的世界里,这个词就颇有些讽刺意义了。“黑客娱乐圈”本身没有一个准确的定义,一般认为:没有钻研技术的精神,整天考虑如何让自己看起来像黑客,仅会使用一些小工具就沾沾自喜、停滞不前的人就是娱乐圈成员;也经常用来代指以“黑客”为噱头炒作自己的人。

这样的人往往在一些QQ群里出现,这些群一般都有成百上千的群成员,并且各个群之间的成员有着相当高的重合性——这些混迹于各种社交群的人总会添加不止一个娱乐群。每天沉迷于谈论“刷QQ钻石”“网赚”这些东西,并乐此不疲地在自己的社交朋友圈发布“收徒信息”,那么没错了,他九成就属于黑客“娱乐圈”。他们沉浸在自己浮躁的世界里,并乐在其中。

这并不是个例,很多刚进入这个圈子或渴望进入这个圈子的新手都希望追求一些更“酷”的事物,而不是潜心钻研技术。好奇之心人皆有之,希望徘徊在“娱乐圈”的朋友们能看清那些光鲜下的不实,戒骄戒躁,悬崖勒马。

2、防范钓鱼网站

钓鱼网站的存在确实给诈骗活动提供了便利(例如,恭喜您获得了价值×××元的××奖品一类),重点是针对用户账号、密码的钓鱼页面。

随着Web技术越来越发达,制作钓鱼页面的技术也随之提高,除去用来诈骗的钓鱼页面,还有一种钓鱼页面值得人们关注,即黑客攻击钓鱼页面。这种类型的钓鱼页面一般以得到目标用户密码等隐私信息为目的,伪造目标用户熟悉的Web环境并实施攻击。

为了防范这种钓鱼攻击,最便捷可靠的方法就是留意浏览器URL信息。

此处仅仅是指浏览器显示的URL,而并不是点击链接时的URL——因为URL可以跳转。

那么,在受害者没有意识地进入攻击者的网站之后,下一步攻击又是如何展开的呢?用户的密码信息又是如何神不知鬼不觉地泄露的呢?

攻击者制作的登录页面看起来和真正的登录页面无异,但这个页面的工作原理如下:

(1)受害者输入账号、密码信息。

(2)提示密码错误,后台第一次记录账号、密码。

(3)受害者再次输入账号、密码。

(4)提示密码正确,并跳转到受害者真正想访问的网站,同时后台第二次记录账号、密码。

(5)记录两次输入的密码,发送给攻击者。

这样一来,抱有“我第一次随便输入密码就知道是不是真的”心态的防御方式彻底宣告失败。

回到刚才的那句话:“最便捷可靠的方式就是留意浏览器上的URL信息”,伪装得再精妙的钓鱼页面,URL也有着明显的不同,在登录时留意URL栏,无疑是一种简便高效的防御方式。该方法不能防御XSS覆盖页面攻击,不过无须过于担心,遇到这种攻击的概率实在是可以忽略。

还有一点需要注意的是,有些钓鱼攻击者会用子域名来迷惑用户的眼睛,例如:www.baidu.com.×××.com(假设×××.com为攻击者的网站)。

这就需要我们睁大眼睛,对于要求输入密码的网站多留心,或是观察浏览器提供的信息来发现这些钓鱼页面(一些浏览器会自动判断该网站的真伪)。

二、敲响警钟

1、CSDN事件

2011年12月21日上午,有骇客在网上披露CSDN数据库泄露,并提供了下载地址,高达600余万个注册邮箱与密码泄露,并且所有密码都使用明文储存。CSDN是国内最大的以程序员为核心的大型网站,却采用明文储存用户密码(当时即便是小型BBS网站数据库都采用MD5等方式对密码加密)。

21日晚,CSDN发布声明并道歉。据CSDN官方解释,该数据库为CSDN作为备份所用,CSDN在2009年4月之前是以明文保存密码,而泄漏原因不详。

继CSDN的数据库泄漏之后,天涯社区、世纪佳缘、开心网等十余家国内知名网站的近5000万用户信息陆续在网上被人公布,各大社区的信誉也遭受质疑。当然,这次严重的事故同时也提高了国内对网络信息安全的重视。

2、12306事件

2014年12月25上午,乌云漏洞报告平台上出现了一则标题为“大量12306用户数据在互联网疯传,包括用户账号、明文密码、身份证号码、邮箱等(泄漏途径目前未知)”的新闻,缺陷编号为:WooYun-2014-88532。这可让网上一下炸了锅,各种讨论与分析瞬间出炉,根据对泄漏数据的分析及当晚的官方信息,这次事件极有可能是一次“撞库攻击”。那么何谓“撞库”?就拿刚才提到的CSDN数据泄露来说,攻击者如果用这些泄露的数据尝试登录12306网站,或是编写脚本进行大量登录测试,就叫撞库攻击。然而被泄露的数据远不止CSDN这么多,量变引起质变,多米诺骨牌效应导致了大量数据的泄露。

3、“天河”超级计算机事件

2015年2月12日,又一个神奇的漏洞引起了广泛关注,这个漏洞竟然出现在超级计算机天河一号上,着实令人震惊(图2)。但是仔细一看漏洞细节,却又让人啼笑皆非:天河一号的办公环境有一个未加密的无线网络,任何设备都可以轻易接入,直接进入内网。这位白帽子小黑客顺便找了找其他可能存在的漏洞,这一找可不得了,他发现天河一号超级计算机内部存在大量弱口令,以及部分服务器存在破壳漏洞(即bash漏洞,一个十分严重的Linux漏洞)。


图片发自作者發姨

回顾以上列举的3个典型安全事件,其都与密码安全息息相关,也正好对应了密码安全中3个“过不去的坎”:明文存储、撞库(同一密码多用)和弱口令。

4、新浪微博XSS蠕虫事件

2011年6月28日晚,中国大型SNS网站——新浪网的新浪微博业务遭受XSS蠕虫攻击。中招的微博博主会自动通过广播和私信的方式发布一些诱惑性信息,用户单击链接后便会触发XSS,发布同样的信息并自动关注hellosamy,中招的用户单击后又会触发XSS,蠕虫便如链式反应般传播。由于蠕虫的指数爆炸型传播、微博的分享形式以及一些大V认证的用户被攻击,该蠕虫在16分钟内就感染了30 000名以上用户,可以说是近几年中国SNS社区受到的最大的一次攻击。

这次攻击并没有直接造成用户的重大损失,更像是一场黑客的恶作剧(从收听的hellosamy用户也能看出,Samy是XSS蠕虫鼻祖herosamy的作者,他的XSS蠕虫曾造成社交网站MySpace的瘫痪)。但同样,这次事件也提高了公众对网络安全的关注(随后新浪多处反射型XSS被披露)。而这次漏洞成因更让人大跌眼镜:新浪对该参数竟然完全没有过滤!这次攻击在Chrome、Safari中会被XSS Filter拦截,而IE、Firefox未能幸免,根据当时IE、Firefox的市场占有率,这的确是一次范围很广的攻击。

让我们来分析一下这个被用来传播XSS蠕虫的URL:

http://weibo.com/pub/star/g/xyyyd”>?type=update

在访问这个URL时,新浪会对字符串进行处理,结果变成了访问:

http://weibo.com/pub/star.php?g=xyyyd”>?type=update

由于参数g并没有进行应有的过滤,导致这个来自外部的JS脚本被嵌入页面内。


图片发自作者發姨


图片发自作者發姨


图片发自作者發姨

三、开源理念

“开源”即开放源代码,具有开源特性的软件(包括操作系统),其源代码对所有人开放,任何人均可以修改、使用、再发行这些软件。下面让我们来简单地了解一下开源。

相信大家都听说过GNU基金会基于Linus Torvalds开发的Linux内核创立的GNU/Linux(也称Linux)操作系统,它的许多发行版本例如Debian、Ubuntu、Red Hat等均为基于开源内核的再创作,广为程序员与技术人员所知。

开源软件并非如其字面意义一般只是简单地放出软件的源代码。开源软件需要配备开源许可证,不同的开源软件通常会因不同的开源目的选择不同的许可证,例如Linux内核使用的是GPL许可证,而Android系统使用的是Apache许可证。不同的许可证决定了大家可以如何使用这份代码,例如GPL许可证规定了任何使用了GPL源码的程序也必须用GPL许可证开源。常见的开源许可证有GPL、MIT、Apache、MS-PL等。开源软件在国外通常也被称为自由软件(Free Software),自由软件的一个关键特征就是它的许可证,不使用开源许可证发布的源代码在美国法律中依然被认定为专有(作者享有完整知识产权)软件,例如微软发布的Reference Source。国内在开源软件领域尚处于法律盲区,也造成了一些大型厂商无所顾忌,出现了不遵守开源协议的现象。

开源代表着自由、高效率和共享。作为程序员、开发人员,可以使用源代码进行二次开发并再发布,也可以对原始开源项目进行拓展,将更改提交回原始代码仓库,使开源软件的特性更多、功能更强大、更易使用,同时提升普通用户的使用体验。这些对开源软件做出贡献的开发者也称为开源者,他们和其他为开源软件做出贡献的人员(例如进行本地化或参与测试的人员)组成了开源社区。近些年随着互联网的高速发展,开源在国内也越来越受欢迎,各类开源社区大量涌现,许多城市都有了当地的LUG(Linux User Group/Linux, Linux用户社组),还有一些类似AOSC(安同开源社区)这样专精于开发自己的开源软件/系统的社区。开源与开发者、使用者是相得益彰的,而它所体现出的自由、共享与探索精神,则与黑客精神在本质是相通的。

CMS(Content Management System)即内容管理系统,随着Web 2.0时代的发展,越来越多的企业、个人在使用CMS建设网站。由于几乎所有CMS都开源,所以很多的CMS漏洞挖掘实际上是基于代码审计,也就是白盒漏洞挖掘。

四、写在最后

黑客的世界五彩缤纷,但又充斥着华而不实的东西,黑客确实看起来很酷,但这酷的背后其实蕴含着十分艰苦的学习过程,希望一蹴而就的人往往会落进不怀好意者的圈套。黑客与安全并不是相对的,他(它)们相辅相成——因为有黑客的探索才会有安全,又正是因为无法做到绝对安全,黑客才有存在的意义。

你可能感兴趣的:(网络安全现状)