摘要:年月日,我聯系了的安全團隊,并會在近期發布修復補丁來解決下面的問題。有關月日,推出一個名為的應用程序。會對你的做些什么為了更好地觀察的行為,目前我正對其進行更深入的分析研究,并很快就會發布。釣魚去啦為達教學目的,我已經建立了一個基本的模板。
2013年10月28日,我聯系了Linkedin的安全團隊,并會在近期發布修復補丁來解決下面的問題。這個修復程序適用于隨機生成ID的styling規則,同下面介紹的基于class的styling有所區別。
我并不是CSS專家,所以或許有其他技巧可以繞過這個限制和刪除內容(甚至只是隱藏或覆蓋它)————如果你知道,請email通知我!我將繼續與Linkedin的安全團隊合作來修復任何我們能找到的BUG。而用戶需要注意的是世上沒有完美的解決方案,即便在郵件中你所看到的這些數據也不能明確證明發送人的合法性。
我還要感謝Linkedin的安全團隊,他們快速且有效地處理了這些問題。
有關“Intro”10月23日,Linkedin推出一個名為"Intro"的應用程序。程序的運行條件很簡單:允許iPhone用戶看到本機Mail App里發件人的詳細信息。這跟iPhone Mail App的Rapportive差不多,這兩個app在本質上一樣(且由相同的人所開發)。
然而,在看Intro最初的介紹中,有一個地方引起了我的注意:
David說Crosswise很想和你合作。這是垃圾郵件,還是真實郵件?
通過Intro,您可以立即看到David長什么樣子,他在哪兒,他是干什么的。你可以看到,他是Crosswise的首席執行官。這是真正的交易。
這就像Linkedin說“我們放了一個鎖住的照片在你的email里,所以你知道它肯定是安全的”這種情況一樣。Linkedin簡單地給用戶一種虛假的安全感。在這篇文章中,我們將一起來看一看Linkedin在用戶的郵件中到底是怎樣做的,以及我們如何偽造這一信息,完全控制Intro所展現給用戶的信息。
Linkedin會對你的Email做些什么為了更好地觀察Intro的行為,目前我正對其進行更深入的分析研究,并很快就會發布。而現在我們只是看看Intro工作的基礎知識,看看它具體是如何對用戶email進行操作的。
Intro首先獲取一個OAuth訪問令牌來管理你的電子郵件。因為Google應用的OAuth協議支持Gmail的IMAP和SMTP,所以它們無需驗證你的郵箱密碼就可獲得授權。然后Linkedin就可以訪問你的email并在你的iPhone上安裝一個安全配置文件,該安全配置文件的最顯著特點就是,它會安裝一個新的email賬戶指向Linkedin的IMAP和SMTP服務器。我不曉得如何從iPhone自身恢復email賬戶密碼,但通過代理攔截發送到iPhone的配置文件,我們可以看到這個email賬戶看起來像這樣:
PayloadDisplayName Email Settings PayloadType com.apple.mail.managed PayloadVersion 1 PayloadUUID [redacted] PayloadIdentifier com.rapportive.iphone.settings.email.[redacted] EmailAccountName Test Account EmailAccountType EmailTypeIMAP EmailAddress Linkedin.intro.test@gmail.com EmailAccountDescription Gmail +Intro IncomingMailServerAuthentication EmailAuthPassword IncomingMailServerHostName imap.intro.Linkedin.com IncomingMailServerPortNumber 143 IncomingMailServerUseSSL IncomingMailServerUsername [username_redacted] IncomingPassword [password_redacted] OutgoingPasswordSameAsIncomingPassword OutgoingMailServerAuthentication EmailAuthPassword OutgoingMailServerHostName smtp.intro.Linkedin.com OutgoingMailServerPortNumber 587 OutgoingMailServerUseSSL OutgoingMailServerUsername Gmail+Intro ?[username_redacted] OutgoingPassword [password_redacted]
通過攔截該配置文件,我們可以得到用于登錄到Linkedin的IMAP(imap.intro.Linkedin.com)和SMTP(smtp.intro.Linkedin.com)服務的用戶名和密碼。用戶名是base64編碼的字符串,密碼是一個32個字符的hash。
現在,我們已經有了這郵件賬戶使用的用戶名和密碼,讓我們抓取第一個電子郵件,看看Linkedin的IMAP代理注入了什么內容。我們可以使用OpenSSL來做到這一點哦。
# openssl s_client -connect imap.intro.Linkedin.com:143 -starttls imap -crlf -quiet depth=2 C = US, O = "thawte, Inc.", OU = Certification Services Division, OU = "(c) 2006 thawte, Inc. - For authorized use only", CN = thawte Primary Root CA verify error:num=19:self signed certificate in certificate chain verify return:0 . OK More capabilities after LOGIN a LOGIN username_redacted password_redacted * CAPABILITY IMAP4rev1 IDLE NAMESPACE ID CHILDREN UIDPLUS COMPRESS=DEFLATE A OK Linkedin.intro.test@gmail.com Test Account authenticated (Success) b SELECT INBOX * FLAGS (Answered Flagged Draft Deleted Seen) * OK [PERMANENTFLAGS (Answered Flagged Draft Deleted Seen *)] Flags permitted. * OK [UIDVALIDITY 1] UIDs valid. * 4 EXISTS * 0 RECENT * OK [UIDNEXT 5] Predicted next UID. * OK [HIGHESTMODSEQ 1049] b OK [READ-WRITE] INBOX selected. (Success) c FETCH 4 BODY[] * 4 FETCH (FLAGS (Seen) BODY[] {36510} email_content_here
事實證明,Linkedin注入了相當多的內容到你的電子郵件中去。基本的結構看起來像這樣:
User specified CSS (if any) Injected Linkedin Intro HTML Content Original Message
你可以在這里找到完整的電子郵件(一些鏈接和一些未被刪掉的東西)。現在我們知道Linkedin對該email做了些什么了吧,讓我們再看看如何使用它來讓我們的釣魚郵件看起來是合法的。
設置誘餌就像設置一個欺騙性的網站一樣,我們可以簡單地復制Linkedin所提供的現有CSS和HTML結構,并根據我們的需要來使用它。首先我們想要做的是找到除去Intro現有數據的方法。我們可以把現有Intro塊的CSS設置為display:none;。很不幸的是, Linkedin顯然也想到了這一點,由于CSS通常是插入到head標簽后面,他們相當細心地為display,height等設置了!important關鍵詞,以提高指定樣式規則的應用優先權。
但仍然不夠細致,如果我們看CSS,可以發現到其規則適用于#rapportive.iphone元素。如果我們仔細觀察,就會發現,其實我們想要隱藏的HTML有一個完整的規范#rapportive.rapportive.topbar.iphone。因此,我們可以簡單地設置以下樣式的隱藏:
就是這么簡單。
現在,我們已經刪除了現有的Intro數據,我們可以自由注入我們自己的數據了。要做到這一點,我們可以復制Linkedin提供的現有HTML。若要確保我們的數據不會被我們之前的CSS隱藏,我們可以簡單地從root中刪除topbar類,因為它不會影響樣式。最后我們想要做的是清除Linkedin在原來信息上設置的邊距,以及把實際數據本身改成任何我們想要的數據。此外,我復制了一些CSS和HTML,修改了自動生成的Id。這將確保我們的模板始終一致。
“釣魚”去啦為達教學目的,我已經建立了一個基本的PoC模板。若要使用它,你只需訪問你要欺騙的那個人的Linkedin配置文件,填寫所需的CSS信息。理想情況下,將來可改進成自動擦除此信息并檢查確保Intro數據只在移動設備上顯示等。現在,它是基本可用的,讓我們看看如果我對Linkedin原來顯示的信息實行欺騙會是怎樣。(諒解一下,這不是IOS7————我沒有見過IOS7系統會有這么多問題):
這就是當我打開Intro選項時所看到的詳細信息(它們是可以自定義的,我讓它們展示了一下我確實控制了其內容):
顯然,這是一個不具惡意的例子。當然,要添加惡意文件、請求敏感信息,也同樣很簡單。
最后的想法雖然Linkedin Intro表面上看起來很有用————只是使用它的話,風險太高了。作為一個社會工程師,我希望我的目標是使用Intro。Linkedin Intro的使用,為用戶營造了一種虛假的安全感,這使得我和廣大社工人員的工作便捷許多。
原文 Phishing With Linkedin"s Intro
翻譯 IDF實驗室陳民慧
文章版權歸作者所有,未經允許請勿轉載,若此文章存在違規行為,您可以聯系管理員刪除。
轉載請注明本文地址:http://specialneedsforspecialkids.com/yun/110835.html
摘要:年月日,我聯系了的安全團隊,并會在近期發布修復補丁來解決下面的問題。有關月日,推出一個名為的應用程序。會對你的做些什么為了更好地觀察的行為,目前我正對其進行更深入的分析研究,并很快就會發布。釣魚去啦為達教學目的,我已經建立了一個基本的模板。 2013年10月28日,我聯系了Linkedin的安全團隊,并會在近期發布修復補丁來解決下面的問題。這個修復程序適用于隨機生成ID的styling...
摘要:在眾多端點威脅中,針對金融部門的最常見的持續攻擊是網絡釣魚和勒索軟件攻擊。通過研究,影響金融行業的勒索軟件攻擊和數據泄露的趨勢表明,勒索軟件組是最活躍的。針對金融機構的累計攻擊次數達起,涉及個勒索軟件組織。 .markdown-body{word-break:break-word;line-height:1.75;font-weight:400;font-size:15px;ove...
閱讀 2155·2021-11-12 10:36
閱讀 2147·2021-09-03 10:41
閱讀 2761·2021-08-19 10:57
閱讀 1230·2021-08-17 10:14
閱讀 1487·2019-08-30 15:53
閱讀 1210·2019-08-30 15:43
閱讀 975·2019-08-30 13:16
閱讀 2983·2019-08-29 16:56