最新消息:VPN推荐网致力打造最全最靠谱的VPN推广站.

代理有毒?绕过HTTPS和VPN,黑你没商量

热点新闻 vpntuijian 451浏览 0评论

研讨人员证明,署理设置缝隙露出 HTTPS URL,黑客可任意建议进犯。该缝隙影响绝大多数操作体系和Web浏览器,可被用于渗漏 HTTPS URL 及进行各种歹意活动。

21385811111

该进犯依靠于署理主动装备(PAC)文件,也就是指定Web浏览器和其他用户署理如何处理HTTP、HTTPS和FTP流量的文件。PAC文件运用名为FindProxyForURL的JavaScript函数,断定URL是直接获裙是经过署理效劳器获龋
VPN

该PAC文件的方位,可被体系运用Web署理主动发现(WPAD)协议,经过DHCP或DNS主动检测到。微软Windows体系和IE浏览器默认敞开了此项功用,OS X 和Linux操作体系,以及Chrome、Safari和火狐浏览器也支撑。WPAD常被公司公司用于确保他们一切体系都有一致的Web署理装备。

以色列安全公司SafeBreach的研讨人员发现,经过在FindProxyForURL函数内部实现歹意逻辑,进犯者能够读取用户拜访的URL,包含 HTTPS URL,进而渗漏它们。
VPN

该进犯对Windows、Mac和Linux体系都有效,一切干流Web浏览器也没能幸免于难。

下周在拉斯维加斯举办的黑帽大会上,SafeBreach首席技能官兼一起创始人伊特兹克·科特勒,该公司安全研讨副总裁阿密特·克雷恩,将同享有关该缝隙的详细信息,并发布运用该进犯办法的概念验证歹意软件。值得指出的是,PAC文件也被许多歹意软件运用,比方说,影响到韩国10万名用户的“黑月(BlackMoon)”木马。

科特勒和克雷恩在访谈中说,建议进犯的办法有两种。一种是经过能够拜访方针体系的歹意软件将静态“proxy.pac”文件放进去,装备被传染的计算机运用该文件。

第二种办法涉及到WPAD。假如受害设备被装备为运用该协议,进犯者可运用中间人进犯绑架WPAD相关通讯,确保歹意PAC资本被浏览器运用。该进犯办法在进犯者可拜访局域网或敞开WiFi连接的状况下最理想,比方说公共场所可用的那些(咖啡馆、酒店、机场等等)。

一旦进犯者将体系装备为运用他们的歹意署理,他们可截获受害者拜访的一切URL,并渗漏到被进犯者操控的机器上。

该疑问的本源在于,低信赖代码(如JavaScript)可被下载并在此类环境(HTTPS流量-高信赖)中履行而不需要任何的证书、数字签名或保护办法。

HTTPS URL可被进犯者截获,带来了严重的安全和隐私危险。研讨人员指出,歹意行为人不只能够获取从URL中能直接找到的灵敏信息(比方搜索项),还能够取得用户重设账户口令时拜访的URL。假如进犯者成功抢在合法用户之前重设了口令,他们便可将受害用户锁在账户门外。

另一个疑问与文档同享有关。公司用户一般经过文件或文档同享效劳发生的链接来同享灵敏信息。一旦获取了这些URL,黑客可很容易地读取到这些信息。

该进犯办法会打开一个双向通讯信道——进犯者不光能够渗漏数据,还能像受害者发送数据。分布式拒绝效劳(DDoS)之类的进犯都可运用该办法建议。

只需建立起传染了PAC歹意软件的僵尸网络,建议DDoS进犯一挥而就。他们能够指定方针网站的IP地址和端口,让一切受传染设备在用户想要拜访某在线资本的时分建议对方针网站的拜访。黑客能够确保受害者被带往他们企图拜访的站点以防止引起置疑,但那有必要是在拜访恳求被发往方针网站以形成过载以后了。

要挟行为人当然还能够致使本地DoS状况。进犯者能够装备PAC在用户想要拜访特定在线效劳(比方浏览页面或更新杀软)的时分运用无效署理。经过指定一个不存在的署理地址,进犯者便成功阻挠了用户取得该效劳。

该疑问不止影响到了浏览器——任何依靠署理装备的使用都会受到影响,比方前文说到的杀软更新——这种未必运用到Web浏览器的状况。

某些状况下,该缝隙还能够用于网络垂钓。一些Web浏览器,比方IE,支撑JavaScript的 alert() 函数返回PAC变量和函数的值。Alert()函数会在被拜访网站页面上打开一个根本对话框窗口,让要挟行为人能够显现诱拐用户去拜访垂钓URL,或在用户企图拜访特定站点(如银行、付出效劳等)时能被诱骗去拨打诈骗电话的信息。

尽管疑问的本源在于WPAD/PAC安全设计缺点,每个浏览器和操作体系厂商也能够采纳办法来下降潜在进犯的露出面。

安全公司 Context Information Security 也独立进行了类似的研讨,并通知了受影响的厂商。这家公司表明,苹果在5月份处理了 OS X 和iOS中的疑问,而google在7月打上了Chrome和安卓补叮

DEF CON 上,Context Information Security 将会在题为“毒署理–绕过HTTPS和VPN黑掉你在线身份”的展演中提醒其发现。

转载请注明:VPN推荐网 » 代理有毒?绕过HTTPS和VPN,黑你没商量

发表我的评论
取消评论

表情

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址