|
发表于 2022-12-16 20:00:07
|
显示全部楼层
我相信下面这个消息,诸君或多或少在:“欢乐一家亲”家合万事兴”、“快乐大家族”、“快乐一家人”、“幸福家园”、“相亲相爰一家人”的微信群里看过。
比较有意思的是,这个信息最早在2011年就有了,只不过当时大家主要都还在用电脑用QQ,所以当时的格式是这样的
公安厅发来的信息:如果你收到“2011年度工资调整方案”的网址。
在任何环境下请不要打开它,且立即删除它。
如果你打开了它,你会失去个人电脑上的一切东西.
这个网址隐藏新的病毒,已经确认了它的危险性,而杀毒软件不能清除它。
他的目标是摧毁个人电脑。
请传这封信给你认识的QQ 群,辛苦一下,这次病毒猛烈仅次于灰鸽子、熊猫烧香,是永远也删不掉的 。 这条消息最早我这追溯到了2008年,当然2013年,2015年,2017年都有传播,传播的格式几乎一模一样,就是把2011年度工资调整方案中的年份换一下,换成对应年份就行了。
当然,上面这则消息早就已经被辟谣了,但传播了如此之久,到今天仍然有很多人相信.谣言中有几个字眼比较唬人,比如之前的是打开某个网址会感染病毒,后面是点击某张图片会感染病毒,因此今天我们不仅仅出来说声这是谣言就完了,更要从背后的原理上,说明这个谣言到底有没有实现的可能,我们不能"辟谣了,但没完全辟"
那么,现在,我要开始较真了
首先我们先来聊一聊远古版本的"2011年度工资调整方案",按照谣言的说法,点开一个链接后就会感染病毒,这个可能么.
答案是完全可能,考虑到谣言的发生年代,实际上这种事情发生的绝对不少,应该电脑用的早的用户,多多少少都中过招,在互联网非常非常早期的时代,在网页上嵌入病毒(恶意代码)是一个非常容易的事情,究其原因是在那个时期浏览器动态脚本给的权限过大,甚至有办法直接有本地文件的读写权限,因此很多的恶意网站将恶意代码嵌入到脚本中,在你打开网页的同时,恶意代码将木马程序转写到你计算机本地再调用执行,电脑就中毒了
实际上有很多的站点,恶意代码并不是被故意插入到网页中的,而是网页设计人员或者是服务器感染了恶意代码,恶意代码再二次感染了网页文件,导致此类病毒满天飞.
后来各大厂商发现了这个问题,因此比如现在,浏览器网站的动态脚本是无法直接访问到本地文件的,当然写权限更是被卡的死死的(除非用户主动下载),因此在后期直接在网页中嵌入恶意代码下载病毒的做法实际基本上已经不好使了.
奈何神操作不低猪队友,黑客们顶上了当时各大网站最最流行常用的一个插件Adobe Flash Player
这个插件几乎现在都还有不少网站在使用,而当时Flash几乎囊括了所有网站的动画,游戏,以至于一些功能设计.但是,Flash Player也许是个好插件,但自打他问世开始,关于他的漏洞报道就没有停过,当时最熟悉的新闻是Flash Player又双叕出0day(漏洞)了,而正是这些漏洞,让恶意代码能够利用绕过浏览器的沙箱环境直接执行一些恶意代码(payload)让用户一一中招,因此在去年,也许是google觉得flash的漏洞实在是补不完了,因此chrome不再支持flash,而adobe也宣布不再提供flash的后续支持.因此在今天,通过网站感染木马,基本上有可能,但可能性非常非常小,对于网站安全我们阶段性实现了一个赢了,但没完全赢的阶段.
那么现在,我们是不是可以放心浏览网页了么,当然,这就像我之前说的赢了,但没完全赢,这个问题是,也不完全是,尽管通过网页感染病毒实际上可能性已经非常小了,就算真存在这种漏洞,黑客也不太可能将它大规模运用,要知道,一个拥有远程代码执行权的0day漏洞限尤其是针对浏览器这种的漏洞是非常非常值钱的,也许在黑市,它能值个几十万上百万的美金丝毫的不夸张,公开广泛利用这种漏洞,无疑是一种"撒币"行为,即使不出售漏洞,将漏洞报给对于的厂商或利用在比赛,正当渠道就能获得非常不菲的一笔奖金外加名利双收.
但盗取用户的权限,显然不仅仅是需要中病毒,目前的浏览器环境经过那么多年的发展,其实安全性是有保障的,但是写网站的码农们显然不可能个个都像凯文·米特尼克[1] 那样英明神武,基本上大大小小的网站都有那么几个不太聪明的程序员写出了一些不太聪明的代码,而XSS(跨站脚本攻击)[2] 几乎是被用的一种最多的攻击手段,而你所知道的几乎所有知名网站,腾讯,百度,163,搜狐....几乎都在不同的时候不同的地方,过去,现在,或者是未来,存在这种漏洞.
简单来说它的原理大部分时候是因为某些网站参数缺乏安全性检测,黑客可以构造出一些恶意代码插入到这些参数中被执行,这样,他就可以构造一个带有恶意参数的看上去合法合规的链接地址(一般会缩为短地址),而你点击这个地址的时候,那么黑客就有可能窃取一些你在这个网站上本来应该只有你有有权限访问的信息或只有你能执行的操作
这也就是为什么很多人在点开一些奇怪的链接后(即使这个链接指向的网站是知名网站十分安全,QQ,微信也没有风险提示)会发现自己的朋友圈转发了一些奇怪的信息,或者是向自己的好友转发一堆奇怪的信息,如果是这样,那么有可能你遭受了xss攻击了,尽管xss攻击大多数情况下无法直接造成一些资金损失,但如果你因此泄漏了一些敏感信息被利用,那么这种可能性也不是没有.如果做得绝一点,黑客甚至能用xss窃取你的账户临时权限,删除你的一些重要资料信息.
因此,对于谣言中的"中删也删不掉的病毒","泄漏账号密码",也许不太可能或者说很难,但是,删除网上资料是完全可能的,对于那些莫名其妙的二维码和网站链接,能不扫就不要扫,能不点就不要点,这点还是不会错的,
说完了网站链接,我们来到最新的"点开图片就中毒",这个可能么?
这个问题挺有意思,如果你对计算机和程序设计所知不多,你并不是这一行的,那么你可能说有可能,但如果你对计算机有所了解,对程序设计也有所了解,那么你会说不太可能,但如果你代码写的足够久,业内混的就像开车180迈上秋名山就和吃饱饭散步一样轻松的时候,你就说这还真是有可能的.
这类的漏洞具有非常高的针对性,也许对于某些代码能够生效,对于另一些代码就无法生效了,例如你可以发现,上面笔者发了很多张图片,这些图片都是非常非常广泛使用的png格式,让我们现在打开png格式解析的知名著名常用三方库libpng[3]
一个巨大的红色标识的Vulnerability Warning就在网站的首页,
libpng versions 1.6.36 and earlier have a use-after-free bug in the simplified libpng API png_image_free(). It has been assigned ID CVE-2019-7317. The vulnerability is fixed in version1.6.37, released on 15 April 2019.
在1.6.36版本及之前的libpng存在一个USE-AFTER-FREE漏洞代码(UAF漏洞,没错,就是flash player也出过同样配方的那个),漏洞编号CVE-2019-7317 ,当然这个漏洞在1.6.37修复了.
但如果你仍然在使用老版本libpng编译的软件,就有可能触发这个漏洞,还真有一看图片就中毒的可能,
当然,只是存在这种可能,此类漏洞的利用难度较大,在大部分情况和大部分的手机环境下,它可能更容易导致你看到某张图片后整个软件崩溃而不是泄漏账户密码,并且,此类漏洞可比浏览器远程代码执行漏洞还要值钱多了.
因此如果你不是什么坐拥百亿的人生赢家或位高权重的政坛大佬,你大可不必担心受到这类漏洞的攻击,毕竟我们大部分人就算把支付宝里的零钱刷光,也不够这个漏洞本身价值的一个零头的.
其实说实话,最大的毒瘤并不是这些搞技术力的攻击,看着手机上电脑屏幕上那些满屏幕的"一刀999"和"屠龙宝刀","点击就送".而右下角菜单栏一堆"xx壁纸","xx管家","xx日历","xx助手","xx浏览器"
讽刺的是这样东西并不是木马病毒造成的,大多数国产的软件,打着帮助用户的旗号(实际是捆绑安装),干的却是和当年木马病毒一样的事. |
|