[讨论]针对业务逻辑的攻击 逻辑, 业务, 攻击, 讨论

冰绿茶

[讨论]针对业务逻辑的攻击
议题作者：狗狗
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

首先说下这个东东不是我发明的，是个什么什么安全专家说过的。但是目前为止国内还没有什么网站或者论坛针对这种攻击进行相应的防范。

其实这种攻击方法很简单，就是利用网站或者论坛保护措施进行攻击。比如说网银一旦密码连续输入错误N次，24小时之内就不能再交易，攻击者利用这种方法在电子商务网站上对某件商品进行竞标，一旦有人跟其竞争，就可以通过输入密码错误的方法锁死对方帐号，最终以低廉的价格获得商品。
支付宝输入错误锁死3小时，（可以通过密码保护来解锁）。

这只是仅仅针对个人的攻击，如果扩大到针对服务提供商的级别，就可以采用批量锁死商务网站帐号的方式来导致交易量的大量减少，如果是针对某些非营利性组织（如邪恶八进制论坛）就可以针对论坛的安全设置来攻击，举例来说邪恶八进制置密码输入错误几次，该IP地址一段时间内无法访问，攻击者伪造大量的iP登录论坛造成大量用户IP被锁死（考虑到论坛规模，攻击量应该很大，而且IP地址采用枚举方式，才能保证所有IP地址都能被锁死。）

以上的攻击方式目前，除了在登录时添加验证码这种方式外尚没有什么太好的解决方式。这就涉及到了验证码的编写与破解，问题复杂在此不作讨论（但是工商银行的验证码实在是。）
帖子18 精华0 积分29 阅读权限40 性别男 在线时间13 小时 注册时间2006-2-21 最后登录2008-5-20 查看详细资料TOP 让女孩一夜变的更有女人味


cnhawk
晶莹剔透§烈日灼然

colin

这个以前就有人做过
利用IP欺骗攻击，然后假IP就被FW自动block。这样你就无法正常访问其实是正常的IP了
帖子24 精华0 积分79 阅读权限40 在线时间60 小时 注册时间2004-12-31 最后登录2008-7-1 查看详细资料TOP 良辰择日，预测咨询，公司改名，权威易经

plaman
晶莹剔透§烈日灼然

henry

借贵宝地一用
搞得精力憔悴。具体情况是C盘不可读，跳也跳不过去。网站在D盘。通过扫描发现1433端口。应该有MSSQL 还有43958 SERV-U 这个好像装在D盘 （在D盘看到个FTP的目录，不过不可读） wscript.shell组件不支持。找了半天找到个
SqlDatabaseName = "newasp"   '???????
  SqlUsername = "sa"     '?????
  SqlPassword = "newasp"     '???????
  SqlLocalName = "(local)"    '??????????????local????????IP??
  ConnStr = "Provider = Sqloledb; User ID = " & SqlUsername & "; Password = " & SqlPassword
满心欢喜。结果连不上。本地远程都试验过。估计是以前的。D盘里还有个winwebmail 。用webshell自己带的提权工具提权不成功。没辄了。
帖子5 精华0 积分20 阅读权限40 性别男 在线时间8 小时 注册时间2007-2-2 最后登录2008-1-2 查看详细资料TOP 让女孩一夜变的更有女人味

19770310
晶莹剔透§烈日灼然

chenhong

看看是不是支持asp.net 或者php
用他们提权试试 asp的权限太小
用SqlPassword = "newasp" 的密码试试ftp 和3389等
是否成功要看人品
帖子4 精华0 积分8 阅读权限40 在线时间35 小时 注册时间2005-6-6 最后登录2008-6-24 查看详细资料TOP

三二
晶莹剔透§烈日灼然

lzw

狗狗发现的太迟了吧。。呵呵
MSSQL 估计不支持外连 组件被删了
试试 xp_dirtreewowo
帖子8 精华0 积分28 阅读权限40 性别女 在线时间158 小时 注册时间2007-7-6 最后登录2008-7-24 查看详细资料TOP 良辰择日，预测咨询，公司改名，权威易经

只手乾坤
晶莹剔透§烈日灼然

CARRIE

引用:
引用第2楼plaman于2007-11-21 14:01发表的 :
借贵宝地一用
搞得精力憔悴。具体情况是C盘不可读，跳也跳不过去。网站在D盘。通过扫描发现1433端口。应该有MSSQL 还有43958 SERV-U 这个好像装在D盘 （在D盘看到个FTP的目录，不过不可读） wscript.shell组件不支持。找了半天找到个
SqlDatabaseName = "newasp"   '???????
  SqlUsername = "sa"     '?????
  SqlPassword = "newasp"     '???????
.......
貌似是某款全站的默认文件。没什么作用吧。没人傻的按照这个来改自己的SA密码吧？
帖子15 精华0 积分53 阅读权限40 在线时间36 小时 注册时间2004-11-11 最后登录2008-7-1 查看详细资料TOP 良辰择日，预测咨询，公司改名，权威易经

plaman
晶莹剔透§烈日灼然

hnhxlxw

网站用的是access数据库。但是有MSSQL。估计是以前用的。可能以前被人家日过。所以改了access。可能因为人品不好。ls说的asp.net木马老早试验过了用的是webadmin 基本上没有改变。有没有好的介绍个。
帖子5 精华0 积分20 阅读权限40 性别男 在线时间8 小时 注册时间2007-2-2 最后登录2008-1-2 查看详细资料TOP 让女孩一夜变的更有女人味

plaman
晶莹剔透§烈日灼然