清泉逐流

做着努力,等待幸福到来

利用HTTP 401钓鱼获取用户敏感信息

作者:Eamonn 时间 : 2015-04-29 17:04 标签:安全

“401钓鱼漏洞”是一个利用HTTP 401状态进行钓鱼的漏洞,将恶意链接作为图片网址发在论坛帖、博客文章和评论、邮件正文等处,当用户访问时页面自动弹出“登录框”。如果用户不加辨识,会误以为需要再次登录,从而使黑客窃取到账号及密码信息。

据金山安全中心监测,众多黑客正在利用401高危欺诈漏洞发起大规模的钓鱼攻击,每天有数万网民访问到这些攻击站点,可能已有大量用户帐号被盗。猎豹浏览器 、金山毒霸、手机毒霸已对401高危欺诈漏洞进行防御。

<?php
if (!isset($_SERVER['PHP_AUTH_USER']) || !isset($_SERVER['PHP_AUTH_PW'])) {
    header('WWW-Authenticate: Basic Realm="User Login"');
    header("HTTP/1.1 401 Unauthorized");
} else {
    $user = $_SERVER['PHP_AUTH_USER'];
    $password = $_SERVER['PHP_AUTH_PW'];
    echo "User:$user, Password:$password";
}


如果将图片代码作为链接的服务器后端执行脚本,将链接置于其他网站,在用户访问该页面时,就会出现用户登录验证信息。这样很可能会讲用户的用户名和面泄露。

如何防范?

目前公司的做法是直接屏蔽所有外部图片链接,这种做法可以说是从根本上解决了这样的问题。不置可否有更好一点的解决方法。

转载注明: http://www.eamonning.com/blog/view/494
» 日志标签