直播攻击学校网站
直播攻击学校网站,厉害了我的哥
2017年2月8日下午,一位网名为crjrfh的主播在虎牙直播网站上直播了自己是如何一步步黑掉山东理工职业技术学院网站,并可能拿去其中某些数据的。
下午两点多时,笔者登录虎牙直播网站发现白帽子crjrfh正在直播自己攻击山东理工职业技术学院网站,驻足观看了许久。他的攻击手段很常见,并不新奇,甚至还可以说漏洞百出。
法律后果
不管他的技术是多么的糟糕,但毫无疑问,白帽子crjrfh的这一行为明显是犯法,至少已经违反《治安管理处罚法》,轻则是警告、罚款,重则会行政拘留。
秉着严谨的态度,我们请教了律师行业从业的朋友,他们对这一行为的解释是:违法。如果他从学校网站获取了数据,那情节就变得非常严重,违反了刑法
第二百八十五条第二款:违反国家规定,侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的,处三年以下有期徒刑或者拘役。第二百八十六条:违反国家规定,侵入前款规定以外的计算机信息系统或者采用其他技术手段,获取该计算机信息系统中存储、处理或者传输的数据,或者对该计算机信息系统实施非法控制,情节严重的,处三年以下有期徒刑或者拘役,并处或者单处罚金;情节特别严重的,处三年以上七年以下有期徒刑,并处罚金。
白帽子Crjrfh攻击过程还原及点评
通过一小时的断续观看直播,综合评价该白帽子技术较差。
首先该白帽子没有配置一个良好的安全测试环境,通过直播得知,母机使用的Windows 7 操作系统,另外安装了虚拟机,虚拟机内环境为Windows Server 2003。其中母机使用的是360浏览器及IE 11,虚拟机中使用的IE 6。
其使用的黑客工具大致为如下:
AWVS 10.5(破解版)
Wwwscan GUI版,搭配300K目录字典(未分类)
SQLmap 1.0.3.9
御剑(修改版)
Caidao(带后门版)
Burpsuite
Layer子域名收集器
Zenmap
其网络环境为电信ADSL拨号,虚拟机内拨VPN上网。在直播过程中,VPN多次断开。
整个攻击过程过于杂乱,笔者也不再过多阐述,我们来看一下这位白帽子的水平低在了哪里。
首先,他的浏览器是非常不适合的,如果将浏览器换成Chrome或Firefox,再配合一些插件的使用,整个工作流程会变得非常高效。
其次,在测试前的信息调研不清。在测试前,至少要了解目标站是什么语言开发的,具体使用了什么框架,这样至少可以将后续的测试提供具体思路,将流程针对化,而不是该白帽子在百度、Google中不停的"site:XXX inrul:asp/aspx/php"。一个良好的信息调研对一次成功的安全测试有非常大的促进作用。
从他的攻击演示中可以看出,他事先并没有做足充分的准备,工具都是临时百度搜索获取的,并且某些基础环境也没有到官网下载,这样对本机的安全也会造成一定的影响。
在攻击过程中,我们可以发现其漏洞扫描器、端口扫描器、SQLmap等工具均在本地同时执行。在经验上讲这是非常不可取的,首先这些工具在使用中会瞬时产生较大的流量,先不说本地的带宽是否承受的住,一些VPN提供商是不允许用户进行下载操作的,这种流量会使其瞬间断开与客户的连接,这样既会使他的部分扫描操作丢失或扫描中止,并且还会泄露真实的IP地址。后续本地网络不稳定,该白帽子还临时在淘宝网购买了一台价值179元的VPS服务器,通过连接肉鸡进行扫描操作。
还有一些类似个人信息保护不严,真实IP泄漏的问题在此不再提及。综上所述,该白帽子的技术水平不是很高。
其中有一个攻击思路还是可取的,我们在直播中看到该白帽子使用微步在线的服务进行了最初的二级域名收集,而不是简单的字典爆破和搜索引擎收集。
白帽子在信息收集中还使用了四叶草安全的Bugscan工具,而四叶草安全已通过技术手段在第一时间进行检测并对违规使用的账号进行了封停处理,故后续攻击中该白帽子并未继续使用Bugscan进行恶意行为。
在技术方面只是选了几点进行了分析,如果哪位读者有更好的想法可以讨论。另外,如果作为一个受害方,应该如何进行溯源和追踪?作为一个安全厂商,是否哪些地方又应该考虑改进一下产品呢?
总结
1.该白帽子对法律的认知不够,不能够清除明白自己的哪些行为是违法,所以一不小心就会触犯法律。
2.这一行为可能会在普通民众制造一种误解,会给黑客扣上一顶错误的帽子,尤其让其他不明真相的群众以为安全行业从业者平时的工作内容和技术水平就是仅此而已。这里需要特别说明,黑客不是一个贬义词,不是所有的黑客都是干坏事的。
评论110次
直播,太夸张了。。年轻人胆子大
直播完全是作死阿 还打学校网站 八成是活的不耐烦
VPN加速器要被灭的节奏 工具均为破解版 软件又有后门 这孩子玩大了
我只能说不做死就不会死,
直播吗,这个真的是6啊,现在的人胆子真的是大啊,表示玩不起
出事的是暗月的一个版主,keio。山东职业技术学院,域名不带edu,所以bugscan可以扫。对于这个新闻的小编,我只想说一句“傻逼”这些新闻媒体,总想搞一些事情,这么一搞,本来人家可以交点罚款就算了的,现在牢中三年。三年,能干好多事情了吧,现在人家却要在牢中度过,你也获得了知名度,获得了一些流量。有意思么?
神tm,Keio会搞这些?还牢中三年?我天天见他QQ在线好么?人家也算是个老黑阔了,神TM还直播拿学校站?
厉害了我的哥,直播作死。
牛逼了word哥
我有个兄弟就跟我说过,说斗鱼可以开技术的直播间,然后就跟我说直播日站,我当时觉得挺可笑的
应该改为 直播作死。
感觉本来就是 娱乐大众的 看看就好不必当真
“光明正大”动数据 这不是作死么
胆真肥,这就好比敲锣打鼓的去偷东西
萬能的直播...什麼都敢播
仿佛回到了十年之前。。
厉害了我的白帽子
好勇敢的表哥,一个字“服”
这是想狗带
直播日站,花式作死
当时我去围观了主播,放着乡村DJ 很嗨