IBM Security Appscan漏洞--通过框架钓鱼

最新推荐文章于 2024-08-09 08:35:54 发布

Hi_YouXu

最新推荐文章于 2024-08-09 08:35:54 发布

阅读量6.4k

点赞数

分类专栏：漏洞文章标签： security 漏洞网络钓鱼

本文链接：https://blog.csdn.net/super_man_x/article/details/50905169

版权

本文讨论了IBM Security AppScan检测到的一种漏洞，即通过框架进行网络钓鱼攻击。攻击者通过注入恶意的frame或iframe，伪装成合法实体诱使用户泄露敏感信息，如用户名、密码等。解决方案包括对用户输入的特殊字符进行处理，添加XSS过滤器以防止此类跨站脚本攻击。同时，提到了类似类型的其他漏洞，如链接注入和存储的跨站脚本编制。

摘要由CSDN通过智能技术生成

可能会劝说初级用户提供诸如用户名、密码、信用卡号、社会保险号等敏感信息
可能原因：
未对用户输入正确执行危险字符清理
技术描述：
网络钓鱼是一种社会工程技巧，其中攻击者伪装成受害者可能会与其进行业务往来的合法实体，以便提示用户透露某些机密信息（往往是认证凭证），而攻击者以后可以利用这些信息。网络钓鱼在本质上是一种信息收集形式，或者说是对信息的“渔猎”。
攻击者有可能注入含有恶意内容的 frame 或 iframe 标记。如果用户不够谨慎，就有可能浏览该标记，却意识不到自己会离开原始站点而进入恶意的站点。之后，攻击者便可以诱导用户再次登录，然后获取其登录凭证。
由于伪造的站点嵌入在原始站点中，这样攻击者的网络钓鱼企图就披上了更容易让人轻信的外衣。

解决办法：
对特殊字符进行处理，从前台-》后台-》前台，对数据进行处理。添加XSS过滤器，对所有从前台进入的参数进行过滤。
XSS过滤器：
http://blog.csdn.net/super_man_x/article/details/50905546
类似漏洞：