安基網 首頁 資訊 安全報 查看內容

全球最大開源代碼托管網站Github遭中間人攻擊,京東也險被劫持!

2020-3-28 12:56| 投稿: xiaotiger |來自: 互聯網


免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!

摘要: 3月26日晚,安全研究人員發現有黑客瞄準全球最大的開源代碼托管網站GitHub、中國三大通信運營商移動、聯通、電信以及知名企業京東,通過骨干網絡劫持443端口發動大范圍釣魚攻擊,大批用戶在訪問這些網站時會出現報錯提示。盡管目前 GitHub 的訪問已經恢復正常,但 GitHub 官方還未就此事說明情況。根據 ...

3月26日晚,安全研究人員發現有黑客瞄準全球最大的開源代碼托管網站GitHub、中國三大通信運營商移動、聯通、電信以及知名企業京東,通過骨干網絡劫持443端口發動大范圍釣魚攻擊,大批用戶在訪問這些網站時會出現報錯提示。



盡管目前 GitHub 的訪問已經恢復正常,但 GitHub 官方還未就此事說明情況。根據各路網友的分析,這很有可能是一次基于DNS 系統或運營商等基礎設施層面發起的中間人攻擊,否則無法解釋如此廣泛的殺傷力。


何為中間人攻擊?

為何它具備如此大的威脅?


那么,什么是中間人攻擊呢?

中間人攻擊(Man-in-the-MiddleAttack,簡稱“MITM攻擊”):是黑客常用的一種攻擊手段,它主要通過攔截正常的網絡通信數據,在雙方都不知情之時,進行數據篡改和嗅探從而達到控制雙方通信的目的,對網銀、網游、網上交易等領域具備相當大的威脅,SMB會話劫持、DNS欺騙都是常見的中間人攻擊手法。

它能成功實施的前提是攻擊者需要與通信雙方終端完成相互認證,即獲取每一個通信終端的信任,這一過程主要通過認證對方的網站證書來完成。

京東金融Ver 2.8.0曾出現一次證書校驗缺陷事故,攻擊者借此與終端之間輕松取得了信任,最終直接拿到了用戶會話中敏感數據的加密密鑰,策劃了一起完美的中間人攻擊,損失巨大。

可以說,數字證書驗證的成功與否決定著中間人攻擊是否能夠繼續,這也是本次釣魚網站被攔截在瀏覽器大門外的關鍵因素。

盡管此次黑客通過劫持443端口,將用戶本來要訪問的網站改成了釣魚鏈接,但因目前全網絕大多數網站都已經開啟加密技術對抗劫持,所以瀏覽器并未信任被攻擊者私自替換的自簽名證書,最終彈出錯誤提示,訪問者才沒有被引導到虛假鏈接上去。

試想,如若網站沒有開啟加密技術對抗劫持,證書并未識別攔截,此類中間人攻擊將變得易如反掌,用戶所輸入的賬號密碼則可能會被直接盜取,聯想到本次襲擊的波及范圍如此之廣,一旦成功,后果將不堪設想。

攻擊者目的或為學習測試

其真實身份尚未確認

而有關本次攻擊的始作俑者,安全研究人員也做了追蹤。自簽名證書顯示證書的制作者昵稱為心即山靈 (QQ346608453),檢索之后發現其使用者曾是某校高中生,此前曾經學習加密技術,并在技術交流網站求助他人發送相關源代碼。


從已知信息判斷,該攻擊者極有可能是在學習相關技術后嘗試發起攻擊,卻并未想到能影響到全國多個省市自治區的網絡訪問。

不過,也有大佬認為,本次是從骨干網絡發起七層精準劫持,能做到這種攻擊程度的黑客也未必是個初學者那么簡單?傊,這個[email protected]這次可是出了大出名!

在此,智庫也提醒各位老板,最近幾天使用Github時注意被劫持的風險。此外,為防止中間人攻擊的事件再度發生,智庫在此也建議各位網站:

1、確保在URL前你所訪問的網站有HTTPS

2、執行HSTS協議

3、如果你的網站使用了SSL,確保你禁用了不安全的SSL/TLS協議。你應當只啟用了TLS 1.1和TLS 1.2



小編推薦:欲學習電腦技術、系統維護、網絡管理、編程開發和安全攻防等高端IT技術,請 點擊這里 注冊賬號,公開課頻道價值萬元IT培訓教程免費學,讓您少走彎路、事半功倍,好工作升職加薪!

本文出自:https://www.toutiao.com/a6808855821628211724/

免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!


鮮花

握手

雷人

路過

雞蛋

相關閱讀

最新評論

 最新
返回頂部
洗衣店赚钱联系澳洁 重庆时时彩计划软件26 2008年上证指数 辽宁快乐11选5走势图 舟山飞鱼近期开奖结果 北京快三人工计划网页 重庆幸运农场破解技巧 彩票开奖查询 安徽快三开奖号码查询 浙江十一选五开奖历史 南粤风采36选7最新走势