MD5哈希漏洞成为高危Web安全漏洞

  • A+
所属分类:未分类

信息安全行业的一位首席Web安全专家称,一年多前发现的哈希算法漏洞可能成为Web上最危险的安全漏洞。

在2010 RSA大会上,WhiteHat首席安全技术官Jeremiah Grossman正式提出去年中排名前十位的网络黑客攻击技术。一月份,Grossman首次在其博客上列出这一第四年度列表,他试图阐明那些往往不会引起人注意但有重大意义的攻击研究。

排在这一列表首位的是创建流氓认证职权的实现,这有效地击败了因特网的信任基础设施,并使用户难以获知哪个站点和证书是可信的。

这一漏洞最初是由一个安全研究小组(其中包括独立研究员Alex Sotirov)在2008年年底发现的。该攻击针对的是MD5哈希算法中的漏洞,在特殊情况下它能够以复制假冒数字指纹的形式来发动攻击。

Grossman称,如今一些CA(证书的签发机构)仍然在使用MD5,但已逐渐被一种更安全且没有这一漏洞的SHA-1哈希函数所淘汰。

列表中排名第二的是一种HTTP参数污染的技术。通过向网站发送多重请求使得绕过输入验证检查和Web应用防火墙,进而修改web页面内容和客户端应用的行为成为可能。

“你可以通过利用同一名称的多重URL参数来改变后端行为,这也很可能使得用户毁掉他们自己的Yahoo邮箱账户。”

Grossman不可能详细阐述每一种黑客技术的细节,但他还是强调了给私有内网带来特别重大风险的一些黑客技术。包括DNS重绑定。在这种攻击渠道上有几种技术,基本上攻击的是DNS服务器以及通过浏览器获取IP地址使得攻击者能够访问到安全内网区域。

Grossman称,即使DNS重绑定已存在好几年了,它或多或少仍未得到完全修复……它实际上可以将浏览器转变为网络代理来执行攻击者的指令。这是种非常猖狂的攻击方式。

同样地,另一种方式RFC-1918同样可以让攻击者通过使用中间人攻击的方式(包括指向非公开路由IP地址的iframe注入)获取对受信内网的访问权限。

Grossman说:“你可能突然间就存储了他们浏览器上的Javascript恶意软件,即使受害者关闭了浏览器,它还是会永久存储在那儿,因为攻击者是在流里的。”

Dallas的工程公司Huitt-Zollars的信息技术主管Glenn Ridnour在出席此次会议时表示,Grossman所谈到的技术并不全是新的,但令攻击者能够访问内网的漏洞的确让人感到不安,因为攻击者可以利用这一漏洞轻易地在各台机器间来回切换。

Ridnour说,“我们花了很多时间来建立防火墙和过滤器,但这种攻击方式不受其他所有因素的影响。”

Grossman在会议中表达的关键主题是:成功防御网站的Web漏洞不仅需要安全的浏览器还需要一个安全的网站基础架构。

“网站必须能够防御敌对用户攻击,同时浏览器必须能够防御恶意网页,就好比你无法只用一只翅膀来飞。”
如果有需要服务器的租用与托管的敬请联系QQ:1501281758(亿恩星辰)   联系电话:0371—63322220

本文出自:亿恩科技【www.enkj.com】

河南亿恩科技股份有限公司(www.enkj.com)始创于2000年,专注服务器托管19年,是国家工信部认定的综合电信服务运营商。亿恩为近五十万的用户提供服务器托管、服务器租用、机柜租用、云服务器、网站建设等网络基础服务,另有网总管、名片侠网络推广服务,使得客户不断的获得更大的收益。 服务热线:400-723-6868 服务器/云主机 24小时售后服务电话:0371-60135900 虚拟主机/智能建站 24小时售后服务电话:0371-55621053
广告也精彩
avatar

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: