安全研究:"網絡釣魚"的原理與防范

[choachukang]

安全研究:"網絡釣魚"的原理與防范

出處：PConline
作者：佚名



　　導讀-- 網絡釣魚(Phishing)一詞，是“Fishing”和“Phone”的綜合詞，它利用欺騙性的E-mail和偽造的Web站點來進行詐騙活動，使受騙者泄露自己的重要數據，如信用卡號、用戶名和口令等。
　　_1.shtml" target=_self>

　　幾個月前，很多用戶收到了一封貌似來自美國花旗銀行的E-mail，若點擊郵件正文中的超級鏈接，便會打開美國花旗銀行的頁面，盡管IE地址欄中顯示的是https://web.da-us.citibank.com/cgi-bin/citifi/scripts/login2/login.jsp(美國花旗的網址)，但大家千萬不要認為自己進入了真正美國花旗銀行的網站，你所造訪的不過是一個假冒網站而已。

　　上述這種欺騙方法就是“網絡釣魚(Phishing)”，一種正趨于流行的網絡詐騙手段。

　　其實在該網頁上單擊鼠標右鍵，選擇右鍵菜單中的“屬性”選項便可確認真正的URL地址。

　　小知識：

　　網絡釣魚(Phishing)一詞，是“Fishing”和“Phone”的綜合詞，由于黑客的“老祖宗”起初是以電話作案，所以用“Ph”來取代“F”，創造了”Phishing”這個詞匯。它利用欺騙性的E-mail和偽造的Web站點來進行詐騙活動，使受騙者泄露自己的重要數據，如信用卡號、用戶名和口令等。

　　“漁”具剖析

　　仿冒網址的技術很早就已經被發現，實現的方法也有很多種。據德國的安全研究人員弗蘭茲分析，若黑客在一個網頁的HTML href 標簽中放置兩個URL和一個表格，那麼IE 瀏覽器就會顯示“欺騙性”的那個鏈接，這種假冒的鏈接會在用戶毫不知情的情況下將他們帶到一個完全陌生的網站。

　　就目前筆者所掌握的資料看來，除了上述所講的方法外，還可以在網頁中添加JavaScript等語言所制作的腳本，通過更改狀態欄所顯示的內容來進行欺騙；另外利用人們的疏忽大意，根據英文字母“o”、“l”與數字“0、“1”相似的特點，讓這些字符與真正的網址內容混淆，使用戶將仿冒的網址當成正確的網址進行點擊。

　　不久前，一惡意網站(www.1enovo.com)偽裝成聯想主頁(www.lenovo.com)，前者將數字1取代英文字母L，並利用多種IE漏洞種植網頁木馬，同時散布“聯想集團和騰訊公司聯合贈送QQ幣”的虛假消息，結果造成很多用戶訪問該網站時感染了病毒，李逵與李鬼讓人真假難辨！

[choachukang]

“魚”死網“破”

　　從仿冒地址的技術成因以及實現手段來看，它一直奉行著“姜太公釣魚，願者上鉤”的策略。大多數用戶通過點擊E-mail中所提供的地址進入假冒網站，進入后基本上都會為了實現某種需要而進行各種操作，這些操作往往會把你的重要數據泄露出去，從而造成巨大的損失。

　　據著名的市場調查研究公司Gartner公司最近一項調查表明，約5700萬名美國消費者收到過此類仿冒的E-mail，有高達5%的人都會對這些騙局做出響應。由于仿冒網址技術不斷升級，Gartner公司還預測，這種詐騙會快速蔓延到通過E-mail與客戶通信的所有商業領域，任何擁有在線業務的公司都將成為潛在的受害者。

　　拒絕“魚餌”

　　對于個人用戶，可以通過實施一些反垃圾郵件措施去扺御這些郵件。假如不幸中招，應盡快更改重要數據，例如銀行的賬戶及密碼等，將損失減少到最低限度。

　　除了上述個人的應對之策外，一些公司也積極開發出了防范仿冒網址的軟件產品。專業身份認証企業CoreStreet在其站點上就提供了一種被稱為Spoofstick的免費瀏覽器助手，當用戶在登錄合法站點，如signin.cpcw.com/aw-cgi/ ..時，地址欄的下方會出現一個明顯的注釋，並顯示“You’re on cpcw.com”，若用戶被騙到了一個偽造的站點，那麼該注釋便會顯示“You’re on 10.19.32.4”，這足以引起我們重視。

　　美國的EarthLink公司也推出了具有防止仿冒功能的工具條，它包含有一些臭名昭著的網站地址數據庫，當用戶試圖訪問已被確認的詐騙網站時，該工具條便會發出警告，並且將用戶重定向到EarthLink公司的網頁。

　　反“漁”聯盟

　　為了防范那些利用仿冒網址而危及用戶利益的事件發生，在美國和英國已經成立了專門反假冒網址等網絡詐騙的組織，比如2003年11月成立的APWG(Anti-Phishing Working Group)和2004年6月成立的TECF(Trusted Electronic Communications Forum)。一些國外公司的主頁底部也設有明顯鏈接，以提醒用戶注意有關E-mail詐騙的問題。而國內許多公司的主頁似乎還沒有這種安全防范意識，同時也沒有類似的組織去專門研究這方面的應對之策。

　　隨著國內外的各種交流越來越頻繁，這種新型網絡詐騙的發生率必然也會上升，更何況黑客病毒技術的迅速發展，仿冒網址技術肯定也會“日新月異”，倘若今后我們遇到了這種局面，該如何去應對呢？