[原创][攻击方法]欺骗攻击_身份欺骗

发表于: 2021-2-7 18:59 1653

[原创][攻击方法]欺骗攻击_身份欺骗

梦幻的彼岸

2021-2-7 18:59

1653

简述
引申知识
何为身份欺骗攻击
伪造数据来源进行攻击
利用DNS重定向进行攻击
利用伪造组织进行攻击
利用DNS欺骗进行攻击
Token 伪造
利用主体欺骗进行攻击
利用跨框架脚本进行攻击(XFS)
利用地面干扰方法进行攻击
利用签名欺骗进行攻击
利用创建恶意认证机构证书进行攻击
利用密钥盗窃进行签名欺骗之后进行攻击
利用不恰当的验证进行签名欺骗之后进行攻击
利用虚假陈述方式进行签名欺骗之后进行攻击
利用混合已签名和未签名的内容进行签名欺骗之后进行攻击
利用恶意的根证书进行攻击
利用由 Key Recreation 设计的签名进行攻击
利用域欺骗技术进行攻击
利用网络钓鱼方法进行攻击
利用鱼叉式网络钓鱼方法进行攻击
利用网络钓鱼方法攻击手机端用户
利用语音网络钓鱼方法进行攻击
参考资料

简述

知己知彼，方能百战百胜。 -《孙子兵法》
备注：根据自身知识面及相关理解会对内容进行不定时更新
更新日期：2021年5月12日
欢迎大家一起讨论与完善

引申知识

何为身份欺骗攻击

英文：Identity Spoofing
身份欺骗是指假设（即采用）其他实体（人类或非人类）的身份，然后利用该身份达到目的的行为。對手可能會製作看似來自不同原則的訊息，或使用偷來的/偽造的認證憑證。另外，攻击者可能会拦截来自合法发送者的信息，并试图使信息看起来像来自他们，而不改变其内容。后一种形式的攻击可以用来劫持合法用户的凭证。身份欺骗（Identity Spoofing）攻击不需要局限于传输的消息--任何与身份相关联的资源（例如，带有签名的文件）都可以成为攻击的目标，攻击者试图改变表面的身份。这种攻击不同于内容欺骗攻击，在内容欺骗攻击中，攻击者并不希望改变信息的表面身份，而是希望改变信息的内容。在身份欺骗攻击中，攻击者试图改变内容的身份。
受攻击的可能性
中
危害等级
中
前提条件
与消息或资源关联的身份标识必须是可移除的，或以不可察觉的方式修改
所需资源
无：执行这类攻击不需要专门资源。
缓解措施
采用可靠的身份认证程序(如多因素认证)

伪造数据来源进行攻击

英文：Fake the Source of Data
攻击者利用不适当的认证，以伪造的身份提供数据或服务。使用伪造身份的目的可能是为了防止所提供的数据的可追踪性，或承担授予另一个人的权利。这种攻击最简单的形式之一是创建一个带有修改过的 "发件人 "字段的电子邮件，以显示该邮件是由非实际发件人发出的。攻击的根源（在这种情况下是电子邮件系统）未能正确地验证来源，这导致读者错误地执行指示的操作。攻击的结果根据攻击的细节而有所不同，但常见的结果包括特权升级、混淆其他攻击和数据损坏/操纵等。
危害等级
中
前提条件
这种攻击只适用于易受攻击的实体将数据或服务与身份关联的情况。如果没有这种关联，就没有理由伪造来源。
所需资源
所需的资源根据攻击的性质而不同。攻击者可能需要的工具可能包括创建自定义网络数据包的工具、特定的客户端软件和捕捉网络流量的工具。然而，这种攻击的许多变体不需要攻击者的资源。

利用DNS重定向进行攻击

英文：DNS Rebinding
直译：DNS重新绑定
攻击者提供内容服务，其IP地址由攻击者控制的DNS服务器进行解析。在通过Web浏览器(或类似的客户端)进行初始解析后，攻击者将其名称所解析的IP地址改为受害者组织内部一个不公开的地址。这使得网络浏览器可以代表攻击者检查这个内部地址。Web浏览器根据DNS名称强制执行安全区，以防止信息的跨区泄露。由于相同的名称解析到这两个IP地址，浏览器会将这两个IP地址放在同一个安全区，并允许信息在地址之间流动。这样，攻击者就可以发现企业内部网络的敏感信息。如果装有受害者浏览器的计算机与攻击者识别的内部机器之间存在信任关系，就有可能进行更多的攻击。这种攻击与钓鱼攻击不同的是，攻击者是恶意DNS服务器的合法所有者，因此不需要破坏外部DNS服务的行为。
受攻击的可能性
高
危害等级
高
实施流程
- 探索
  识别潜在的DNS重定向受害者，攻击者在自己的服务器上用自己的名字和DNS服务器发布内容。吸引HTTP流量，并探测浏览器、旧版Flash播放器的重定向漏洞。
  技巧
  1
  攻击者利用网络广告吸引受害者访问攻击者的DNS，探测HTTP请求中的网页浏览器或Flash播放器的版本。
- 实践
  1.建立受害者对攻击者DNS的初始访问。受害者首次访问攻击者的内容时，攻击者的名字必须被解析为IP地址。攻击者的DNS服务器执行此解析，提供一个较短的Time-To-Live（TTL），以防止受害者缓存该值。
  2.重定向DNS解析到受害者地址。受害者对攻击者的内容进行后续请求，攻击者的DNS服务器必须再次被查询，但这次DNS服务器返回的是受害者组织内部的地址，无法从外部访问。
  3.确定DNS重定向访问受害者地址的可利用性，攻击者就可以利用受害者在原始消息中从攻击者处检索到的内容中的脚本，从指定的内部地址中渗出数据。
- 利用
  在受害人的安全区域内访问和窃取数据：攻击者可以在原始消息中使用从攻击者获取的受害者标内容中的脚本，从内部地址中窃取数据。这使攻击者可以发现有关企业内部网络的敏感信息。
  技巧
  攻击者试图使用受害者的浏览器作为HTTP代理，访问受害者安全区内的其他资源。这样就可以在同一安全区放置两个IP地址。
  攻击者试图通过发送多个短命的IP地址来扫描和访问受害者本地网络中的所有内部主机。
前提条件
受害者浏览器必须从攻击者控制的DNS名称访问内容服务器，网络广告经常被用于此目的，受害者浏览器必须尊重攻击者返回的TTL值，并在初次接触后重新解析攻击者的DNS名称。
技能需求
[水平：中等]
设置DNS服务器和攻击者的Web服务器，编写一个恶意脚本，让受害者连接到Web服务器。
所需资源
攻击者必须提供一些受害者最初访问的网络内容，这些内容必须包括可执行内容，这些内容会查询攻击者的DNS名（提供第二次DNS解析），然后对内部系统进行后续攻击。攻击者还需要一个定制的DNS服务器，为其注册的DNS名称提供IP地址，但它将单个客户的后续请求解析为该客户网络内部的地址。
缓解措施
设计：IP Pinning会使浏览器记录特定名称所解析的IP地址，并继续使用该地址，而不考虑DNS响应中设置的TTL。不幸的是，这与一些合法网站的设计不兼容。
实现方式：拒绝带有恶意Host头的HTTP请求。
实施方法：使用DNS解析器来防止外部名称。使用DNS解析器，防止外部名称解析到内部地址。
示例
攻击者注册一个域名，如IP地址为1.3.5.7的www.evil.com，委托给自己的DNS服务器（1.3.5.2），并使用钓鱼链接或电子邮件来获取HTTP流量。DNS服务器不发送正常的TTL记录，而是发送一个很短的TTL记录（例如1秒），防止条目[www.evil.com，1.3.5.7]的DNS响应被缓存在受害者的（192.168.1.10）浏览器上。攻击者的服务器首先用JavaScript等恶意脚本响应受害者，包含服务器的IP地址(1.3.5.7)。攻击者使用XMLHttpRequest（XHR）直接向攻击者的服务器发送HTTP请求或HTTPS请求并加载响应。恶意脚本允许攻击者将主机名重新绑定到防火墙后的目标服务器的IP地址（192.168.1.2）。然后，服务器会响应攻击者的真正目标，即受害者同一域（192.168.1.10）的内部主机IP（192.168.1.2）。由于相同的名称解析到这两个IP地址，浏览器会将这两个IP地址（1.3.5.7和192.168.1.2）放在同一个安全区，并允许信息在地址之间流动。此外，攻击者还可以通过发送多个短命的IP地址，实现对受害者本地网络（192.168.X.X）中所有内部主机的扫描和访问。

利用伪造组织进行攻击

英文：Counterfeit Organizations
攻击者在关键生命周期路径中以合法供应商的外观创建一个虚假的组织幌子，然后将被破坏/恶意的信息系统组件注入组织供应链。
危害等级
高
前提条件
无

利用DNS欺骗进行攻击

英文：DNS Spoofing
攻击者在合法解析器之前向受害者路由请求发送恶意（"NXDOMAIN"（"无此域"）代码或DNS A记录）响应。这种技术需要一个能够监控和响应目标DNS请求的On-path或In-path设备。这种攻击与BGP篡改的不同之处在于，它直接响应受害者发出的请求，而不是污染受害者基础设施使用的路由。
所需资源
On/In Path Device
技能需求
[级别：低]
要发送电子邮件
缓解措施
设计：避免对DNS的依赖
设计：在应用程序中加入 "主机文件"/IP地址在应用程序中加入 "主机文件"/IP地址。
实施：使用支持Tor的.onion域名。
实施：DNSSEC
实施：DNS-hold-open
示例
以下-递归DNS污染：当递归DNS服务器和用户之间的On/In-path设备在合法解析器之前发送恶意（"NXDOMAIN"（"No such domain"）代码或DNS A记录）响应时。
以上-递归DNS污染：当权威服务器（如政府管理的）和递归DNS服务器之间的On/In-path设备在合法解析器之前发送恶意（"NXDOMAIN"（"No such domain"）代码或DNS记录）响应时。

Token 伪造

英文：Token Impersonation
攻击者利用身份验证中的弱点来创建模拟不同实体的访问Token(或等价物)，然后将一个进程/线程与该冒充的令牌联系起来。此操作导致下游用户根据假定的身份而不是根据防御攻击者的响应做出决定或采取行动。
危害等级
中
前提条件
仅当下游用户利用Token来验证身份，然后根据该身份采取措施时，这种攻击方式才适用。
技能需求
所需资源
仅当下游用户利用Token来验证身份，然后根据该身份采取措施时，这种攻击方式才适用。
常见危害
改变执行逻辑、获得特权、隐藏恶意行为

利用主体欺骗进行攻击

英文：Principal Spoof
主体欺骗是身份欺骗的一种形式，在这种形式中，攻击者在互动中冒充其他人。这通常是通过制作似乎来自攻击者之外的人的消息（书面，口头或视觉）来实现的。网络钓鱼和欺骗攻击通常会尝试这样做，因此他们收集敏感信息的尝试似乎来自合法来源。主体欺骗不使用被盗或欺骗的身份验证凭据，而是依靠消息的外观和内容来反映身份。主体欺骗的可能结果反映了身份欺骗的结果。（例如，特权升级和数据或活动的错误归属）同样，大多数用于身份欺骗的技术（设计消息或拦截和重放或修改消息）都可以用于主体欺骗攻击。但是，由于使用了主要的欺骗来模仿一个人，所以社会工程学既可以是一种攻击手段（使用社会手段来产生支持虚假身份的证据），也可以是可能的结果（通过发表言论或执行言论来操纵人们的看法）。
危害等级
中
前提条件
受害者必须将数据或活动与一个人的身份联系起来，而攻击者必须能够在不被发现的情况下修改这个身份。
所需资源
无：执行这类攻击不需要专门资源。

利用跨框架脚本进行攻击(XFS)

英文：Cross Frame Scripting (XFS)
这种攻击模式将恶意Javascript和合法网页加载到一个隐藏的iframe中。然后，恶意Javascript能够以用户未知的方式与合法网页进行交互。这种攻击通常利用一些社会工程的元素，攻击者必须说服用户访问攻击者控制的网页。
危害等级
高
前提条件
受害者的浏览器在执行同源策略时一定存在漏洞，它允许加载页面中的某些数据来自不同的服务器/域。
缓解措施
避免点击不可信的链接。
使用诸如框架破坏之类的技术，这是开发人员旨在防止他们的站点被加载到框架内的一种方法。
示例
攻击者控制的网页包含恶意Javascript和包含合法网站登录名的隐藏IFRAME(即，隐藏的IFRAME会使其看起来好像加载了真正的合法网站)。当受害者与IFRAME中的合法网站交互时，恶意Javascript会收集该敏感信息。

利用地面干扰方法进行攻击

英文：Terrestrial Jamming
在这种攻击模式中，攻击者向目标消费级卫星天线(而不是卫星本身)的方向发送破坏性信号。传输中断发生在更有针对性的范围内。便携式地面干扰器在城市地区的射程为3-5公里，在农村地区的射程为20公里。这项技术需要比卫星发射的频率更强大的地面干扰器。
受攻击的可能性
低
危害等级
高
所需资源
地面卫星干扰器，其信号比试图与目标通信的卫星信号更强大。攻击者必须知道目标卫星天线的位置。
缓解措施
示例
企图通过广播伪造的GPS信号来欺骗GPS接收器，其结构类似于一组正常的GPS信号。这些干扰信号的结构可能会使接收机计算出于实际位置以外的其他位置，或者根据攻击者所决定，在不同的时间位于其所在的真实地址，例如10点显示9点的地址。

利用签名欺骗进行攻击

英文：Signature Spoof
攻击者生成消息或数据块，使受害者相信消息或数据块是由权威或信誉良好的源头生成和加密签名的，误导受害者或受害者操作系统执行恶意行为。
前提条件
受害人或受害人系统依赖基于密码签名的验证系统来验证一个或多个安全事件或行动。
可以通过攻击者提供的签名绕过验证，使之看起来是合法的权威或有信誉的来源提供的签名。
技能需求
[级别：高]
从技术上了解签字核查算法如何与数据和应用程序一起工作。
示例
攻击者通过使用伪造的加密密钥对可执行文件进行签名，为受害者提供了从可执行软件伪装成合法可执行文件的恶意可执行文件。受害者的操作系统尝试通过检查签名来验证可执行文件，认为签名有效，并且攻击者的恶意可执行文件运行。
攻击者利用加密算法中的弱点，允许重构合法软件供应商的私钥，使用重构后的密钥对攻击者创建的恶意软件进行加密签名，并由受害者的操作系统伪装成软件供应商的合法软件更新而安装

利用创建恶意认证机构证书进行攻击

英文：Creating a Rogue Certification Authority Certificate
攻击者利用了一种弱点，这种弱点是由于使用了具有抗冲突性弱的哈希算法来生成证书签名请求（CSR），而证书签名请求（CSR）的“待签名”部分中包含冲突块。攻击者提交一个CSR，由受信任的证书颁发机构签名，然后使用签名的Blob使第二个证书看起来像是由该证书颁发机构签名的。由于哈希冲突，两个证书尽管不同，但哈希值相同，因此，已签名的Blob在第二个证书中也能正常工作。最终结果是，证书颁发机构从未见过的攻击者的第二个X.509证书现在已由该证书颁发机构签名和验证。或者，第二证书可以是签名证书。因此，攻击者可以启动自己的证书颁发机构，该证书颁发机构锚定在签署了攻击者的第一个X.509证书的合法证书颁发机构的信任根中。如果浏览器默认接受原始证书颁发机构，那么攻击者及其签发的所有证书都将设置证书颁发机构。结果，攻击者能够生成任何SSL证书来模拟任何Web服务器，并且用户的浏览器不会向受害者发出任何警告。这可用于破坏HTTPS通信和可能使用PKI和X.509证书的其他类型的系统（例如VPN，IPSec）。
受攻击的可能性
中
危害等级
高
实施流程
利用
1.攻击者制作了两个不同但有效的X.509证书，当使用抗冲突性不够强的哈希算法进行哈希处理时，它们将产生相同的值。
2.攻击者将证书之一的CSR发送给使用目标哈希算法的证书颁发机构。该请求是完全有效的，并且证书颁发机构向攻击者颁发X.509证书，并使用其私钥签名。
3.攻击者获取签名的Blob，并将其插入攻击者生成的第二个X.509证书。由于哈希冲突，两个证书（尽管有所不同）哈希到相同的值，因此已签名的Blob在第二个证书中有效。结果是尽管只有一个证书已签名，但看起来有两个证书似乎是由有效的证书颁发机构签名的。
前提条件
证书颁发机构使用的哈希函数的抗冲突性不足，无法生成要签名的证书哈希
技能需求
[级别：高]
了解如何在X.509证书中强制hash伪造
[等级：高]
攻击者必须能够制作两个产生相同哈希值的X.509证书
[等级：中]
建立证书颁发机构所需的知识
所需资源
具有使用抗伪造性较差的哈希算法的证书颁发机构的知识有效的证书请求和恶意的证书请求具有相同的哈希值
缓解措施
认证机构需要停止使用过时的或在密码学上不安全的hash算法来对其将要签署的证书计算hash。相反，他们应该使用更强大的hash函数，如SHA-256或SHA-512。
示例
MD5伪造
MD5算法不防伪造，允许攻击者使用欺骗攻击来创建恶意证书颁发机构。

利用密钥盗窃进行签名欺骗之后进行攻击

英文：Signature Spoofing by Key Theft
攻击者通过窃取获得权威或信誉良好的签名者的私人签名密钥，然后使用该密钥从原始签名者那里伪造签名，误导受害者执行有利于攻击者的行动。
受攻击的可能性
中
危害等级
高
前提条件
权威的或信誉良好的签字人在存储其私人签字密钥时保护不足。
技能需求
[等级：低]
了解常见的定位方法和对敏感数据的访问方法
[等级：高]
能够危害包含敏感数据的系统
缓解措施
1.限制从非管理帐户访问私钥
2.只限于管理人员和特定程序访问私钥
3.确保所有远程方法的安全
4.确保所有的服务都有补丁，并且是最新的。

利用不恰当的验证进行签名欺骗之后进行攻击

英文：Signature Spoofing by Improper Validation
攻击者利用签名验证算法实现中的加密弱点来生成有效的签名，而无需知道密钥。签名验证算法通常用于确定证书或代码段（例如，可执行文件，二进制文件等）是否具有有效签名并且可以被信任。如果杠杆算法确认存在有效签名，则它将建立信任基础，当与网站或应用程序进行交互时，该信任基础会进一步传达给最终用户。但是，如果签名验证算法通过根本不验证签名或未能完全验证签名而错误地验证了签名，则可能导致攻击者生成欺骗性签名并被归类为合法实体。成功利用这种弱点可以进一步使攻击者将用户重新路由到恶意站点，窃取文件，激活麦克风，记录击键和密码，擦除磁盘，安装恶意软件等等。
受攻击的可能性
低
危害等级
高
前提条件
收件人使用的是弱加密签名验证算法或加密签名验证算法的弱实现，或者接收者应用程序的配置接受使用通过加密弱签名验证算法生成的密钥。
技能需求
[等级：高]
签名验证算法的密码分析
[等级：高]
签名验证算法实现的逆向工程与密码分析
所需资源
缓解措施
使用包含加密元素的程序和产品，这些加密元素已被彻底测试过，以防止签名验证例程中的缺陷。
示例
Windows CryptoAPI (Crypt32.dll)被证明容易受到签名欺骗的影响，因为它不能正确验证elliptic curve加密（ECC）证书。如果CryptoAPI的签名验证器允许规范非标准基点（G）。"攻击者可以创建一个自定义的ECDSA证书，其椭圆曲线(ECC)签名似乎与已知的标准曲线相匹配，比如P-256，其中包括一个现有的已知受信任证书机构的公钥，但事实上它并不是由该证书机构签署的。Windows会检查公钥和其他曲线参数，但不会检查实际生成曲线的（定制的攻击者提供的）基点生成器（G）参数常数"[REF-562]。利用这个漏洞，攻击者可以利用伪造的证书来欺骗受信任的网络连接，并传送/执行恶意代码，同时看起来是合法受信任的实体[REF-563]。这最终会欺骗受害者，使其相信恶意网站或可执行文件是合法的，并且是来自经过适当验证的来源。

利用虚假陈述方式进行签名欺骗之后进行攻击

英文：Signature Spoofing by Misrepresentation
攻击者利用接收软件的解析或显示代码中的弱点，生成一个包含所谓有效签名的数据blob，但签名者的身份是虚假的，这可能导致攻击者操纵接收软件或其受害用户执行破坏行为。
受攻击的可能性
低
危害等级
高
前提条件
收件人使用的签名验证软件不能清楚地指示签名者身份中的潜在同形异义词。收件人使用的签名验证软件包含一个分析漏洞，或者允许在签名者身份字段中使用控制字符，从而使签名被错误地显示为有效且来自已知或权威的签名者。
技能需求
[等级：高]
攻击者需要了解目标应用程序使用的数据块的布局和组成。
[等级：高]
为了发现特定漏洞，攻击者需要对工程师的签名解析，签名验证和签名者表示代码进行反向操作。
[等级：高]
可能要求攻击者创建格式错误的数据Blob，并知道如何将其插入收件人将访问的位置。
缓解措施
确保应用程序正在使用解析和数据显示技术，这些技术将准确显示控制字符，国际符号和标记，并最终识别潜在的同形异义词攻击。

利用混合已签名和未签名的内容进行签名欺骗之后进行攻击

英文：Signature Spoofing by Mixing Signed and Unsigned Content
攻击者利用数据结构的底层复杂性，允许有签名和无签名的内容，使无签名数据被当作有签名的数据来处理。
受攻击的可能性
低
危害等级
中
前提条件
签名者和接收者正在使用复杂的数据存储结构，以允许在已签名和未签名的数据之间进行混合
收件人正在使用签名验证软件，一旦签名经过验证，该软件就不会保持签名数据和未签名数据之间的分隔。
技能需求
[等级：高]
攻击者可能需要连续监视签名数据流，等待出现可利用的消息。
[等级：高]
攻击者必须能够创建格式错误的数据Blob，并知道如何将其插入收件人将访问的位置。
缓解措施
确保应用程序已完全打补丁，并且不允许像处理签名数据一样处理未签名的数据。

利用恶意的根证书进行攻击

英文：Malicious Root Certificate
攻击者利用授权方面的弱点，并在受感染的系统上安装新的根证书。证书通常用于在Web浏览器中建立安全的TLS/SSL通信。当用户尝试浏览提供不可信证书的网站时，将显示错误消息，以警告用户安全风险。根据安全设置，浏览器可能不允许用户建立与网站的连接。攻击者已使用此技术来避免当受感染的系统通过HTTPS连接到攻击者控制的Web服务器时，安全警告提示用户，这些Web服务器欺骗了合法网站以收集登录凭据。
受攻击的可能性
低
危害等级
低
前提条件
攻击者须有能够创建新的根证书的能力。
示例
如发布某扫描器的破解版本，替换正版证书为恶意证书，诱使受害者进行安装

利用由 Key Recreation 设计的签名进行攻击

英文：Signature Spoofing by Key Recreation
攻击者通过利用签名算法中的加密弱点或伪随机数生成来获取权威或声誉卓著的签名者的私有签名密钥，然后使用该密钥伪造原始签名者的签名，以诱使受害者执行使攻击者受益的操作。
受攻击的可能性
低
危害等级
高
前提条件
权威签名者正在使用一种弱的随机数生成方法或一种弱签名软件来导致密钥泄漏或允许密钥推断。
权威签名者正在使用签名算法，该签名算法具有直接弱点或选择的参数不正确，使得使用该签名者的签名可以恢复密钥。
技能需求
[等级：高]
签名生成算法的密码分析
[等级：高]
签名生成算法实现和随机数生成的逆向工程和密码分析
[等级：高]
能够创建格式错误的数据块，并知道如何将其直接或间接地呈现给受害者。
缓解措施
确保已对加密元素进行了充分的弱点测试。

利用域欺骗技术进行攻击

英文：Pharming
当受害者被诱使到将敏感数据输入到可信的位置（如在线银行网站或交易平台）时，就会发生欺骗攻击。攻击者可以模拟这些被认为是可信的站点，并将受害者定向到他们的站点，而不是最初预期的站点。欺骗不需要脚本注入或点击恶意链接就可以使攻击成功。
受攻击的可能性
高
危害等级
高
实施流程
利用
1.攻击者建立了一个模拟用户信任的系统。通常这是一个需要或处理敏感信息的网站。
2.然后，攻击者中毒了目标站点的解析器。这可以通过使DNS服务器或本地主机文件中毒来实现，该服务器将用户定向到原始网站
3.当受害者请求该站点的URL时，中毒记录会将受害者定向到攻击者的系统，而不是原始系统。
4.由于原始站点的性质相同，并且攻击者控制的是该站点，而URL仍然是原始站点，因此受害人信任该网站，攻击者现在可以“传播”敏感信息，例如凭据或帐号。
前提条件
易受攻击的DNS软件或保护不当的主机文件或路由器已被病毒攻击
处理敏感信息但不使用安全连接和有效证书的网站也容易被篡改
技能需求
[级别：中]
攻击者需要能够对解析程序（指向受信任DNS服务器的DNS条目或本地主机文件或路由器条目）释放病毒，才能成功实施欺骗攻击。建立一个与目标网站相同的假网站，不需要特殊技能。
所需资源
无：执行这类攻击不需要专门资源。需要了解目标网站的结构方式，以便创建一个虚假版本，中毒解析器需要知道可以利用的漏洞。
缓解措施
所有敏感信息都必须通过安全连接进行处理。
一旦发布并测试了修补程序，就必须修补DNS或路由器软件或操作系统中的已知漏洞。
最终用户必须确保通过与知名证书颁发机构颁发的有效证书的安全连接，仅向其信任的网站提供敏感信息。
示例
一个在线银行网站要求用户提供他们的客户ID和密码来登录，但不使用安全连接。
攻击者可以建立一个类似的假网站，并利用钓鱼功能从不知情的受害者那里收集这些信息。

利用网络钓鱼方法进行攻击

英文：Phishing
网络钓鱼是一种社会工程学技术，攻击者伪装成受害者可以与之进行交易的合法实体，以提示用户泄露一些机密信息（非常频繁的身份验证凭据），这些信息以后可以被攻击者使用。网络钓鱼实质上是一种信息收集或“捕捞”信息的形式。
受攻击的可能性
高
危害等级
高

实施流程

探索
获取域名和证书以欺骗合法站点：此可选步骤可用于帮助攻击者更令人信服地模拟合法站点。攻击者可以使用同形异义词攻击说服用户他们正在使用合法网站。请注意，网络钓鱼攻击不需要此步骤，并且许多网络钓鱼攻击仅提供包含IP地址且没有SSL证书的URL。
技巧
1
2
可以选择获得一个与合法网站的域名在视觉上相似的域名
可选择为新域名获取合法的SSL证书。

浏览合法网站并创建重复网站：攻击者创建一个网站（可以选择使用类似于原始URL的URL），该网站与他们试图模仿的网站非常相似。该网站通常会提供一个登录表单，供受害者输入其身份验证凭据，这里的主题可以有不同的变化。
技巧

使用spidering软件获取合法网站的网页副本。
从合法网站手动保存所需网页的副本。
创建新的网页，这些网页具有合法网站的外观和感觉，但包含全新的内容。

利用
说服用户在攻击者的网站上输入敏感信息。攻击者向受害者发送一封电子邮件，其中有某种行动呼吁，让用户点击电子邮件中的链接（将受害者带到攻击者的网站）并登录。关键是要让受害者相信电子邮件是来自与受害者有业务往来的合法实体，并且电子邮件中的URL指向的网站是合法网站。行动呼吁通常需要听起来足够合法和紧急，以促使用户采取行动。
技巧
1
2
从一个伪造的合法电子邮件地址向用户发送信息，要求用户点击其中的链接。
在网上论坛的帖子中放置钓鱼链接。
使用偷来的凭证登录合法网站。一旦攻击者通过网络钓鱼获取了一些敏感信息（登录凭证、信用卡信息等），攻击者就可以利用这些信息。例如，攻击者可以利用受害者的登录凭证登录他们的银行账户，并将钱转到他们选择的账户。
技巧
1
使用其他用户提供的凭证登录到合法网站。

前提条件
攻击者需要有办法与受害者建立联系。一般来说，这将通过电子邮件来实现。
攻击者需要正确猜测受害者与之做生意的实体，并冒充它。大多数情况下，网络钓鱼者只是使用最流行的银行/服务，并向许多潜在的受害者发送他们的 "钩子"。
攻击者需要有一个足够吸引人的行动号召，以促使用户采取行动。
复制的网站需要看起来与原来的网站极其相似，而用来进入该网站的URL需要看起来像上述商业实体的真实URL。
技能需求
[水平：中等]
关于网站的基本知识：获取网站、设计和实施网站，及一定社会工程学知识等等。
所需资源
一些网络开发工具，外加一个服务器用于架设恶意网站。
受攻击迹象
您收到一封来自您甚至不是其客户的实体的电子邮件，提示您登录您的账户。
您收到的任何电子邮件提供给您一个链接，将您带到一个您需要输入登录信息的网站。
缓解措施
不要直接访问你在电子邮件中收到的任何链接，当然也不要在他们带你到的页面上输入任何登录凭证。相反，打电话给你的银行、PayPal、eBay等，询问问题。安全的做法也是直接在浏览器中输入银行的网址，然后才登录。另外，千万不要回复任何要求你提供任何形式的敏感信息的邮件。
示例
目标收到一封来自银行的官方邮件，称由于怀疑有未经授权的活动，他们的账户已被暂时锁定，他们需要点击邮件中的链接登录银行账户才能解锁。邮件中的链接与他们银行的链接非常相似，一旦点击链接，登录页面就是一模一样的。目标提供他们的登录凭证后，他们会被通知他们的账户已经被解锁，一切正常。攻击者刚刚收集了目标的网上银行信息，现在攻击者可以利用这些信息登录目标的银行账户，并将钱转到攻击者选择的银行账户。
还有常见的游戏中奖钓鱼网站：

利用鱼叉式网络钓鱼方法进行攻击

英文：Spear Phishing
攻击者针对特定用户或团体，以针对特定用户类别的网络钓鱼（CAPEC-98）攻击为目标，以具有最大的关联性和欺骗性。 Spear网络钓鱼是针对特定用户或组的网络钓鱼攻击的增强版本。通常，目标电子邮件的外观似乎来自已知或受信任的实体，从而可以提高目标电子邮件的质量。如果某个受信任实体的电子邮件帐户已被盗用，则可以对消息进行数字签名。该消息将包含特定于目标用户的信息，这将增加他们遵循URL到受感染站点的可能性。例如，该消息可以指示对目标的就业，居住，兴趣的信息，或表明熟悉度的其他信息。用户一按照消息中的说明进行操作，攻击便会作为标准的网络钓鱼攻击进行。
受攻击的可能性
高
危害等级
高

实施流程

探索
获取关于目标用户或组织的有用的上下文详细信息。敌手收集关于目标用户或组织的有用的上下文详细信息，以便制作更具欺骗性和诱惑力的信息，引诱目标作出反应。
技巧

进行目标的网页搜索研究。
确定目标的可信赖的同事，同事和朋友。 
利用诸如Pretexting之类的社会工程攻击模式。 
通过垃圾箱潜水收集社会信息。 
通过传统来源收集社会信息。
通过非传统来源收集社会信息。

实践
1.可选：获取域名和证书来欺骗合法网站。这个可选步骤可以用来帮助攻击者更有说服力地冒充合法网站。攻击者可以使用同名攻击来让用户相信他们正在使用合法网站。需要注意的是，这一步对于网络钓鱼攻击来说并不是必须的，很多网络钓鱼攻击只是提供了包含IP地址和没有SSL证书的URL。
技巧
可以选择获得一个与合法网站的域名在视觉上相似的域名。
可以选择为新的域名获得一个合法的SSL证书。
2.可选：探索合法网站并创建重复网站：攻击者创建一个网站（可以选择一个看起来类似于原始URL的URL），该网站与他们试图模仿的网站非常相似。该网站通常会提供一个登录表单，供受害者输入其身份验证凭据，这里的主题可以有不同的变化。
技巧
1
2
3
使用Spidering软件在合法站点上获取网页副本。
从合法站点手动保存所需网页的副本。
创建具有合法站点外观但包含全新内容的新网页。
3.可选：使用非常具体的用户信息（例如居住区域等）构建网站的变体：一旦攻击者的网站复制了合法的网站，他们就需要在其中构建与用户非常相关的信息。例如，他们可以通过提供诸如本地新闻，当地天气等信息来创建针对不同居住区域用户的网站的多个变体，以便用户认为这是该网站的新功能。
技巧
1
在为复制原网站而创建的网页中加入本地化信息，这些本地化信息可以根据未来受害者的独特密钥或IP地址动态生成。
利用
说服用户在攻击者的网站上输入敏感信息。敌手向受害者发送一条信息(通常是电子邮件)，其中有某种行动呼吁，以使用户点击电子邮件中的链接(将受害者带到敌手的网站)并登录。关键是要让受害者相信信息来自受害者信任的合法实体或与受害者有业务往来的实体，并且电子邮件中的URL指向的网站是合法网站。行动呼吁通常需要听起来足够合法和紧急，以促使用户采取行动。
技巧
1
2
从一个伪造的合法电子邮件地址向用户发送信息，要求用户点击其中的链接。
在网上论坛的帖子中放置钓鱼链接。
使用偷来的凭证登录合法网站。一旦攻击者通过网络钓鱼获取了一些敏感信息（登录凭证、信用卡信息等），攻击者就可以利用这些信息。例如，攻击者可以使用受害者的登录凭证登录他们的银行账户，并将钱转到他们选择的账户。
技巧
1
使用其他用户提供的凭证登录到合法网站。

技能需求
[等级：中]
鱼叉式网络钓鱼攻击需要特定的受害者知识，例如受害者正在使用的银行或他们通常登录的网站（Google，Facebook等）。
所需资源
攻击者必须具有（通过电子邮件，实例消息等）向受害者传达其网络钓鱼方案的能力，以及向受害者输入个人信息的网站或其他平台。
受攻击迹象
缓解措施
不要直接访问您在电子邮件中收到的任何链接，当然也不要在它们也将您带到的页面上输入任何登录凭据。相反，请致电您的银行，PayPal，eBay等，并咨询问题。一种安全的做法是直接在浏览器中键入银行的URL，然后才登录。此外，切勿回复任何要求您提供任何敏感信息的电子邮件。
示例
目标收到一封来自银行的官方邮件，称由于怀疑在其居住地以外的地区发生了未经授权的活动（细节可能由鱼叉式网络钓鱼者提供），他们的账户已被暂时锁定，他们需要点击邮件中的链接登录其银行账户才能解锁。邮件中的链接看起来和他们银行的链接非常相似，一旦点击链接，登录页面就是一模一样的。目标提供他们的登录凭证后，他们会被告知他们的账户已经被解锁，一切正常。敌手刚刚收集了目标的网上银行信息，现在他们可以利用这些信息登录目标的银行账户，并将钱转入敌手选择的银行账户。
敌手可以利用SMB协议中的弱点，向目标发送一封来自其雇主的IT部门的官方电子邮件，说明他们的系统有脆弱的软件，他们需要通过点击所提供的网络共享链接来手动修补软件的更新版本。一旦链接被点击，目标就会被引导到攻击者控制的外部服务器或公共访问共享上的恶意文件。然后，SMB协议将尝试验证目标到攻击者控制的服务器，这使得攻击者可以通过SMB捕获哈希凭证。这些凭证然后可以用来执行离线蛮力攻击或 "Pass The Hash(传递哈希) "攻击。

利用网络钓鱼方法攻击手机端用户

英文：Mobile Phishing
攻击者以钓鱼攻击将手机用户锁定为目标，目的是从用户那里获取帐户密码或敏感信息。移动网络钓鱼是网络钓鱼社会工程技术的一种变体，其中攻击是通过文本或SMS消息而非电子邮件发起的。诱使用户通过此消息提供信息或访问遭到破坏的网站。除了发起攻击的方式之外，攻击还作为标准的网络钓鱼攻击进行。
受攻击的可能性
高
危害等级
高
实施流程
- 探索
  获取域名和证书以欺骗合法站点：此可选步骤可用于帮助攻击者更有说服力地冒充合法站点。攻击者可以使用同形异义词或类似攻击手段说服用户他们正在使用合法网站。请注意，网络钓鱼攻击不需要此步骤，并且许多网络钓鱼攻击仅提供包含IP地址且没有SSL证书的URL。
  技巧
  1
  2
  获取在外观上看起来与合法站点的域名相似的域名。
  获取新域名的合法SSL证书。
- 探索合法网站并创建副本：敌手创建一个与他们试图冒充的网站非常相似的网站（可选择与原网站相似的URL）。该网站通常会有一个登录表格，让受害者输入他们的认证凭证。这里可以有不同的主题变化。
  技巧
  1
  2
  3
  使用Spidering软件在合法站点上获取网页副本。
  从合法站点手动保存所需网页的副本。
  创建具有合法网站外观和风格但包含全新内容的新网页。
- 利用
  说服用户在敌方网站上输入敏感信息：攻击者将一条短信发送给具有号召性用语的受害者，以说服用户单击包含的链接（然后将受害者带到敌方的网站上）并登录。关键是让受害者相信该短信来自受害者与之开展业务的合法实体，并且短信中URL指向的网站是合法网站。号召性用语通常需要听起来足够合法和紧急，以提示用户采取行动。
  技巧
  1
  从一个伪造的合法手机号码向用户发送消息，要求用户点击其中的链接。
- 使用偷来的凭证登录合法网站。一旦攻击者通过网络钓鱼获取了一些敏感信息（登录凭证、信用卡信息等），攻击者就可以利用这些信息。例如，攻击者可以使用受害者的登录凭证登录他们的银行账户，并将钱转到他们选择的账户。
  技巧
  1
  使用其他用户提供的凭证登录到合法网站。
前提条件
- 攻击者需要手机号码才能与受害者建立联系。
- 攻击者需要正确地猜测与受害者有业务往来的实体并将其假冒。大多数时候，网络钓鱼者只是使用最受欢迎的银行/服务，并向许多潜在的受害者发送“钩子”。
- 攻击者需要有足够有说服力的号召性用语来提示用户采取行动。
  复制的网站看起来必须与原始网站极为相似，并且用于访问该网站的URL必须看起来像所述业务实体的真实URL。
技能需求
[水平：中等]
关于网站的基本知识：获取网站、设计和实施网站，及一定的社会工程学知识等等。
所需资源
要么是手机，要么是访问网络资源，可以向手机发送短信。常规网络钓鱼攻击所需的资源。
受攻击迹象
您收到一条来自您甚至不是其客户的实体的短信，提示您登录您的账户。
您收到任何短信，提供给您一个链接，将您带到一个需要您输入凭证的网站。
缓解措施
不要直接访问你在短信中收到的任何链接，也不要在他们带你到的页面上输入任何登录凭证。相反，打电话给你的银行、PayPal、eBay等，询问问题。安全的做法还包括利用实体的移动应用或直接在浏览器中输入实体的URL，然后再登录。千万不要回复任何要求你提供任何形式的敏感信息的短信。
示例
受害者收到一条短信，称其Apple ID因可疑活动而被禁用，需要点击短信中包含的链接登录苹果账户才能启用。短信中的链接看起来是合法的，一旦链接被点击，登录页面就是苹果标准登录页面的完全复制。受害者提供他们的登录凭证，然后被通知他们的账户现在已经被解锁。然而，攻击者刚刚收集了受害者的苹果账户信息，现在可以被攻击者用于各种目的。

利用语音网络钓鱼方法进行攻击

英文：Voice Phishing
攻击者利用网络钓鱼攻击将用户作为目标，目的是从用户那里获取帐户密码或敏感信息。语音网络钓鱼是网络钓鱼社会工程技术的一种变体，其中攻击是通过语音呼叫而不是电子邮件发起的。伪装成所指控组织的合法雇员的攻击者诱使用户提供敏感信息。语音网络钓鱼攻击不同于标准网络钓鱼攻击，因为用户通常不与受感染的网站进行交互以提供敏感信息，而是通过语音方式提供此信息。语音网络钓鱼攻击也可以由攻击者以“冷呼叫”的形式发起，也可以由受害者（如果呼叫了非法电话号码）发起。
受攻击的可能性
高
危害等级
高

实施流程

探索
获取域名和证书以欺骗合法站点：此可选步骤可用于帮助攻击者更有说服力地冒充合法组织。攻击者可以使用同形异义词或类似攻击手段说服用户他们正在使用合法网站。如果攻击者利用冷战呼吁进行这次攻击，那么将跳过此步骤。
技巧
1
2
获取在外观上看起来与合法组织的域名相似的域名。
获取新域名的合法SSL证书。

探索合法网站并创建重复网站：攻击者可以选择创建一个网站（可以选择在类似于原始URL的URL上），该网站与他们要模仿的组织网站非常相似。该网站将包含一个电话号码，供受害者拨打电话以帮助他们解决问题并发动攻击。如果攻击者利用冷战呼吁进行这次攻击，那么将跳过此步骤。
技巧

使用spidering软件获取合法网站的网页副本。
从合法网站手动保存所需网页的副本。
创建新的网页，这些网页具有合法网站的外观和感觉，但包含全新的内容。

利用
说服用户向攻击者提供敏感信息。敌手通过恶意网站给受害者 "打冷电话 "或接到受害者的电话，并提供行动呼吁，以说服用户向敌手提供敏感细节（如登录凭证、银行账户信息等）。关键是要让受害者相信，与他们通话的人是来自与受害者有业务往来的合法实体，而且通话是出于合法的原因。呼叫行动通常需要听起来足够合法和紧急，以促使用户采取行动。
技巧
1
从看起来合法的假冒电话号码呼叫受害者A。
使用窃取的信息：一旦攻击者获得敏感信息，就可以利用这些信息登录受害者的银行帐户并将资金转移到他们选择的帐户，或者用窃取的信用卡信息进行欺诈性购买。
技巧
1
使用受害者提供的其他凭据登录到合法站点

前提条件
1.攻击者除了需要使用看起来合法的电话号码之外，还需要电话号码来与受害者建立联系。
2.攻击者需要正确地猜测与受害者有业务往来的实体并将其假冒。大多数时候，网络钓鱼者只是使用最受欢迎的银行/服务，并向许多潜在的受害者发送“钩子”。
攻击者需要有足够有说服力的号召性用语来提示用户采取行动。
3.如果通过欺骗性网站被动进行此攻击，则复制的网站必须看起来与原始网站极为相似，并且用于访问该网站的URL必须看起来像所述业务实体的真实URL。
技能需求
[水平：中等]
关于网站的基本知识：获取网站、设计和实施网站，及一定的社会工程学知识等等。
所需资源
看上去合法的电话号码，可以与受害者通话
受攻击迹象
1.您收到一个您甚至不是其客户的实体的电话，提示您登录您的账户。
2.您接到任何要求您提供敏感信息的电话。
3.您被重定向到一个网站，该网站指示您拨打屏幕上的号码，以解决呼叫行动。
缓解措施
不要接听来自未知号码或可能被标记为垃圾邮件的号码的电话。此外，不要拨打意外重定向到潜在恶意网站后出现在屏幕上的号码。在这两种情况下，不要通过非合法发起的语音电话提供敏感信息。相反，请通过银行、PayPal、eBay等面向公众的网站上的号码致电您的银行、PayPal、eBay等，询问问题所在。
示例
1.受害者接收到一封电子邮件或文本消息，指出他们的Apple ID由于可疑活动而被禁用，并且所包含的链接包括有关如何解锁其Apple帐户的说明。文本消息中的链接看起来合法，单击链接后，用户将被重定向到外观合法的网页，该网页提示用户拨打指定的号码以启动解锁过程。目标会发起电话呼叫，并将其凭据或其他敏感信息提供给他们假定为Apple工作的个人。现在，攻击者已经拥有了这些数据，可以将其用于登录帐户以获取其他敏感数据，例如Apple Pay信息。
2.攻击者呼叫受害者并声称为其银行工作。攻击者告知目标者，由于潜在的欺诈性支出，他们的银行帐户已被冻结，并且需要进行身份验证才能重新启用该帐户。目标方认为呼叫者是合法的银行雇员，因此提供他们的银行帐户登录凭据以确认他们是该帐户的授权所有者。然后，攻击者确认此身份验证并声称该帐户已被解锁。一旦攻击者获得了这些凭证，就可以将钱从受害者的账户转移到攻击者控制的账户中。

真实案例例举

一、推销“理财产品”
李某、陆某、王某等13人，冒充“中国人民银行金银货币管理局”“收藏协会”工作人员，以“每件商品每月返利10%”及“一年后原价回购商品”为诱饵，通过电话推销假金条、假金币及手表、字画等物品的方式，骗取260余万元，受害者达196人。
法院经审理，判决13名被告人均构成诈骗罪，对其中的10名被告人均判处4年以上有期徒刑，其余3名均判处1年以上有期徒刑，判处的罚金总额达210万元。
二、“木马”截获信息
李某伙同贾某，将拦截他人手机短信的病毒，以网络连接的形式，编辑进查询车辆违章记录的手机短信中。市民点击后，手机短信就被拦截并自动转发。李某便可截获受害者的支付验证码、京东网上注册账号等信息，在网络支付平台上盗刷银行卡。两人前后实施犯罪行为15起，犯罪金额达35万余元。
法院经审理，判决两名被告人均构成盗窃罪，对主犯判处7年有期徒刑，并处罚金8万元。
三、假冒身份“下套”
上官某某等3人，制作假冒的工商银行网站，利用伪基站发送假冒银行的短信，提示用户升级网银，诱使受害者登录假冒的银行网站并输入账号、密码、验证码。 3人获取账号、密码、验证码后，登录真正的银行网站，将用户账户内的资金转至自己控制的账户内，再通过取现、刷卡购物等方式将钱款进行转移，犯罪金额达64万余元。
法院经审理，判决3名被告人均构成盗窃罪，对其中的两名主犯分别判处7年有期徒刑并处罚金20万元以及2年以上有期徒刑并处罚金8万元。
四、虚假“贷款合同”
张某、颜某等4人结伙。由张某制作可以提供贷款的虚假网页，先冒充银行客服通过QQ聊天取得受害者的信息，再与受害者本人取得联系，当受害者签订虚假贷款合同后，以需要先缴纳保证金或者让受害者支付钱款刷银行信用后才能放款等名目，实施犯罪行为8起，犯罪金额14万余元。
法院经审理，判决4名被告人均构成诈骗罪，其中两名被告人被判处3年以上有期徒刑，其余两名被告人被判处1年以上有期徒刑，罚金数额共计14万元。
五、可办理“信用卡”
张某通过互联网、微信等渠道发布办理信用卡的虚假消息，并以办理信用卡需要手续费、验资资金等借口，骗取钱财。得逞后，指使马某在陕西西安、咸阳、渭南等地通过ATM机提取现金。张某共实施犯罪15起，犯罪金额达48万余元。
法院经审理，判决两名被告人均构成诈骗罪，对主犯判处4年以上有期徒刑，并处罚金4万元。
六、忽悠“特价机票”
王某、李某以及邓某，在网上发布虚假的特价机票信息和客服热线，当受害者要支付机票的钱款时，便以客服人员的身份谎称该网页支付功能损坏，需要转账激活机票或者输入激活码激活。3人以这样的方式共作案5起，犯罪金额达26万余元。
法院经审理，判决3名被告人均构成诈骗罪，对主犯均判处3年以上有期徒刑，判处罚金总额近10万元。
七、彩票“高中奖率”
林某、陈某等5人，创立了虚假的重庆时时彩的彩票网站客户端，通过该网站发布彩票信息并自行修改后台数据。随后， 5人又创建“简单网赚”QQ群，并在群里冒充客户，发布虚假的中奖信息并谎称很容易中奖，来哄骗受害者下注购买彩票和充值。最后，林某等人通过修改受害者下注金额、修改彩票的投注号码等，骗取钱财23万余元。
法院经审理，判决5名被告人均构成诈骗犯罪，均判处3年以上有期徒刑，判处罚金总额近4万元。
八、涉嫌“被洗黑钱”
刘某、王某等4人，假冒公安联系受害者，称受害者的身份被别人冒用进行洗黑钱犯罪，只要向他们提供的“安全账户”转账，就能避免被追究法律责任，以此骗得钱财21万余元。
法院经审理，判决4名被告人均构成诈骗罪，对主犯均判处3年以上有期徒刑，判处罚金总额近13万元。
九、群发“短信”钓鱼
姜某在长兴县城时代广场某宾馆房间内，非法使用伪基站等设备，冒充工商银行客服95588发送诈骗短信，数量共计达5322条。
法院经审理，判决被告人构成诈骗罪，判处有期徒刑3年，并处罚金2万元。
十、房东收取“租金”
李某从嘉兴流窜到湖州，在吴兴区新天地广场及周边区域，利用伪基站群发冒充房东收取租金的短信，不少市民收到短信后信以为真，将共计1万余元打到了李某短信中所提供的银行卡上。
法院经审理，判决被告人构成诈骗罪，判处有期徒刑6个月，并处罚金1万元。