酷应用

@EtherDream 沉默中的狂怒Cookie大喷发

技术作者：站内编辑 2014-10-24 03:39:34

前言上一篇文章讲解了如何借助前端技术，打造一个比 SSLStrip 更高大上的工具。今天我们再次使用这套战术，通过前后端的里应外合，实现一个杀手锏级的攻击方案 —— Cookie 数据大喷发。 传统嗅探 在过去，Cookie 的窃取大多通过嗅探流量来实现。这种方法具有很强的隐蔽性，让人几乎难以察觉。然而，正因为如此，也面临一个巨大的缺陷：速度太过缓慢。中间人只能嗅探到用户正在访问的页面，对于那些令人期待的网站，只能慢慢等了。在家庭、办公场所这些稳定的网络环境里，长久的等待或许还能得到想要的结果；但对于公共场所上网的用户，就没那么容易了。在公共网络里，大家多少保持一些警惕，很少会去访问一些重要的网站。况且，临时的网络用户也不会停留太久。因此纯粹的流量嗅探，难以捕捉到更有意义的数据。 前端出击 既然用户不按我们的套路出牌，那么我们的前端战术就得派上用场了 —— 只要能控制页面，一切皆可由我们做主。哪怕用户就是不中圈套，我们的脚本也可以强制跳转过去，从而轻易拿下想要的 Cookie 数据。不过强制跳转的方式也太过暴力了。尽管我们使用了劫持页面这种高调的方式，但之后的所作所为，仍需保持隐蔽。也许你会说可以通过隐藏框架页来代替，就可大幅提升隐蔽性了。这个方式确实不错，离我们的目标又近了一步，但仍然不够完美。为什么非得用访问页面的方式来获取 Cookie，这代价不免也太大了。事实上，Cookie 的发送和请求类型是没有任何关系的。无论是页面的访问、还是第三方资源的加载，只要目标 URL 匹配了 Cookie 数据库的路径，符合的记录最终都会被带上。或许你平时并没有注意到这一点，但我们可以马上来验证下。我们先在页面里，发起一个第三方的资源请求：

抓到请求包，自然就获得了其中的 Cookie：

但这些数据究竟是不是完整的，能否直接利用？不多猜测，我们把它粘到其他浏览器里试试：

当我们再次刷新页面时，奇迹发生了：

通过 Cookie，我们成功还原了之前的登录状态。而这一切，仅仅从一个第三方的图片请求中获得！所以，中间人可以使用非常轻量的方式，来获取某个站点下的 Cookie。我们可以事先收集大量的网站地址，让前端间谍进行逐一侦探，从而能嗅探到相当一部分账号了：

方案优化

前后端结合战术，在此又一次得到了展现。但为了能将其发挥到淋漓尽致，我们还需进行充分优化。

路径标记

虽然我们可以通过加载第三方资源的方式，将目标站点的 Cookie 送到流量上。但中间人收到请求后又该如何处理？返回空白内容，还是代理正常页面？如果真走一遍代理，那实在是太浪费了。既然我们已得到 Cookie，随便返回什么都可以；但若返回空内容，要是用户正好打开这个网站，那就白屏了。为了不影响 Cookie 的发送，同时能让中间人明白这个请求是咱们自己人的，我们在请求的 URL 里加上一个特殊的标记。当中间人发现请求带有这个暗号，自然就明白了 —— 记录下其中携带的情报，然后放心的返回空白就可以了。

因为 Cookie 的 Path 属性不包括 Query，所以加上这个记号，并不影响 Cookie 的携带。原来有哪些，现在仍一样。此外，修改了路径还有另一个好处：即使侦探被缓存了的站点，也能产生请求流量。从而不错过任何一个目标！

DNS 加速

解决了代理问题，发送 Cookie 现在只需极小的流量。这时的瓶颈，已不仅仅是 HTTP 流量了。因为我们事先准备了大量的网站，他们都有各自的域名，因此 DNS 查询也成为不可忽视的一部分。为了缩短查询时间，我们可以将所有发往 UDP/53 的数据包，全转发到中间人的 DNS 服务下，并且都解析成自己的 IP。这样不仅加快域名查询的过程，而且还能给中间人节省不少带宽。当然，如今的浏览器，对域名解析做了大量的优化。因此在前端上，速度提升或许并不明显。但这种方式仍有极大的意义 —— 我们同时劫持了 DNS 和 HTTP，这意味着整套方案，可以不依赖互联网，进行离线攻击！这尤其适用于上网成本较高的户外环境里。

痕迹收集

当然，并不是所有账号都得通过 Cookie 成功还原的。稍微重视安全的网站，其登录会话都绑定了 IP 地址段。如果还原时的外网 IP，和用户之前使用的存在较大区别，这个 Cookie 很有可能就失效了。但大多数时候，我们劫持的都是附近的用户，甚至是同一内网的，所以仍有不少能够还原的。但随着安全等级的提高，一些网站不仅仅绑定 IP 地址，有的还关联了 User-Agent 等信息。在将来，甚至还会绑定用户更多的痕迹，例如屏幕分辨率、插件版本、绘图算法等等，更精确的识别用户。为了能提高还原成功率，我们也尽可能多的收集用户信息。除了 User-Agent，我们还可以考虑通过前端代码，收集更详细的浏览器特征信息。在账号还原时，把这些信息都模拟到沙盒里，伪装到天衣无缝。