[閒聊] 關於釣魚 (?) 網頁

看板NetSecurity (資安資訊安全)作者CMJ0121 (不要偷 Q)時間5年前 (2019/08/13 00:05)推噓1(1推 0噓 0→)

留言1則, 1人參與討論串1/1

剛剛某位大大貼了篇新聞[0] 給我問我關於釣魚(?)網站的問題其實如果把問題反過來說應該就比較容易理解了假若你是個工程師需要替目標使用者正在瀏覽的網站塞入額外的廣告這時候有哪些作法 ~ 對於使用者看到的網頁來說絕大多數都屬於 DOM[1] 每一個元素跟操作或多或少都會跟 DOM 扯上關係 (我想不到完全沒有的例子...) 因此塞入額外的廣告這個問題等價於塞入額外的 DOM 針對塞入 DOM 又可以分為兩種方式：替換原本的 DOM 以及塞入新的 DOM 元件 ## 替換 ## 替換原本的 DOM 也就是顯示預期以外的內容舉個例子來說 <img src='http://example.com/sample.png' /> 就是用來顯示一個 PNG 檔案假若可以替換 src 的內容就可以做到替換 DOM 的目的替換 http://example.com/sample.png

的內容方法最簡單的有兩種 - DNS Spoofing / DNS Poisoning [2] 透過污染 DNS Server 導致連接到不正確的伺服器 - Router hijack 直接掌控你的 router 讓連到目的 IP 直接被替換 ## 塞入 ## 塞入 DOM 還有另外幾種方式最簡單的方式則是塞入惡意的 JavaScript 跟替換 DOM 一樣藉由替換掉原本的 JavaScript 而載入惡意的程式碼攻擊者就可以任意掌控 DOM 另外一種方式則是透過 XSS 直接執行惡意的 JavaScript 套件或者利用進階的 opener 特性將 XSS 指令傳遞到其他執行的分頁翁 ~ 以下歡迎大家討論各種實作方式 ~ [0]: https://news.cts.com.tw/cts/life/201908/201908111970882.html [1]: https://developer.mozilla.org/zh-TW/docs/Web/API/Document_Object_Model [2]: https://en.wikipedia.org/wiki/DNS_spoofing -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 106.1.224.240 (臺灣) ※ 文章網址: https://www.ptt.cc/bbs/NetSecurity/M.1565625933.A.F4B.html