구성 요소

Facebook 계정을 훔칠 수있는 사진

Desire 510 unboxing in 4K

Desire 510 unboxing in 4K
Anonim

라스베가스에서 열리는 블랙 햇 (Black Hat) 컴퓨터 보안 컨퍼런스에서 연구원들은 페이스 북, 이베이 (eBay), 구글 등 인기있는 웹 사이트 사용자들의 온라인 자격 증명을 도용 할 수있는 소프트웨어를 선보일 예정이다.

이 공격은 다른 프로그램과는 다른 새로운 유형의 하이브리드 파일에 의존합니다. 이 파일을 사용자가 자신의 이미지를 업로드 할 수있는 웹 사이트에 배치함으로써 연구원은 보안 시스템을 우회하고 이러한 사이트를 사용하는 웹 서퍼의 계정을 인수 할 수 있습니다.

"우리는 Java NGS Software의 John Heasman 부회장은 이러한 유형의 파일을 GIF (그래픽 교환 형식) 및 JAR (Java Archive)의 축소 형 GIFAR이라고 부릅니다.), 혼합 된 두 파일 유형. Black Hat에서는 연구원들이 참석자들에게 GIFAR을 만드는 방법을 보여 주면서 광범위한 공격에서 즉시 사용되지 못하도록 몇 가지 주요 세부 사항을 생략했습니다.

웹 서버의 파일은.gif 파일과 똑같은 모양을하고 있습니다. 그러나 브라우저의 Java 가상 머신은 Java Archive 파일로 열어 애플릿으로 실행합니다. 그러면 공격자는 피해자의 브라우저에서 Java 코드를 실행할 수 있습니다. 브라우저는이 악성 애플릿을 웹 사이트 개발자가 작성한 것처럼 취급합니다.

공격 방법은 다음과 같습니다. 악의적 인 사람들이 인기있는 웹 사이트 중 하나 인 프로필 (예: Facebook)을 만듭니다. - GIFAR을 사이트의 이미지로 업로드하십시오. 그런 다음 피해자가 악의적 인 웹 사이트를 방문하도록 유도합니다. 그러면 피해자의 브라우저에 GIFAR이 열리게됩니다. 이 시점에서 애플릿은 브라우저에서 실행되어 악의적 인 사용자가 피해자의 Facebook 계정에 액세스 할 수있게합니다.

공격은 사용자가 파일을 업로드 할 수있는 사이트에서 작동 할 수 있습니다. 뱅킹 카드 사진, 아마존 닷컴 등이있다.

GIFAR은 자바에 의해 열리기 때문에 많은 종류의 브라우저에서 열 수있다. 피해자는 공격을 위해 이미지를 호스팅하는 웹 사이트에 로그인해야합니다. Heasman은 "GIFAR 공격이 저지 될 수있는 몇 가지 방법이 있습니다."라고 Heasman은 말했습니다. 웹 사이트는 하이브리드 파일을 발견 할 수 있도록 필터링 도구를 강화할 수 있습니다. 또는 Sun은 Java 런타임 환경을 강화하여 이러한 상황을 방지 할 수 있습니다. 연구자들은 블랙 햇 (Black Hat) 이야기가 끝난 후 얼마되지 않아 썬이 수정을 제안 할 것이라고 기대하고있다. 그러나 연구자들은 자바 수정으로이 공격 벡터가 비활성화 될 수 있지만 합법적 인 웹 애플리케이션에 악의적 인 콘텐츠가 배치되는 문제는 크고 가난한 문제. "다른 기술로이 작업을 수행 할 수있는 다른 방법이있을 것입니다"라고 GIFAR 개발자 인 Ernst & Young의 고급 보안 센터 연구원 인 Nathan McFeters는 말합니다. "장기적으로 웹 애플리케이션은 "라고 McFeters는 말했다. "현재 웹 애플리케이션의 문제로, 우리가 현재 사용하고있는 자바의 공격은 단지 하나의 벡터 일뿐입니다."

그와 그의 동료 블랙 햇 발표자들은 인터넷이 고장났다는 이야기를 할 자격이있다.

궁극적으로 브라우저 제작자들은 화이트 햇 시큐리티 (White Hat Security)의 CTO 인 예레미아 그로스 만 (Jeremiah Grossman)은 소프트웨어에 근본적인 변화를주기위한 것이라고 말했다. "인터넷이 고장난 것은 아니다"라고 그는 말했다. "브라우저 보안은 망가져있다. 브라우저 보안은 사실상 모순이다."