网络钓鱼攻击所依赖的是纯洁的外表以及和善的微笑，以此让人们落入欺骗的全套。
网络钓鱼的现实情况
网络钓鱼攻击所依赖的是纯洁的外表以及和善的微笑，以此让人们落入欺骗的全套。虽然伪装成合法网站的技术含量并不高，但是这却是网络钓鱼者们最先使用的技术。但是这种方式正在逐渐失去效果，不精确的网站模仿，以及看起来别扭的域名，都可以提醒我们这可能是网络钓鱼网站。
现实情况
网络钓鱼者们仍然在使用欺骗形式的网站，但是他们通过修改官方网站实现了更好的效果。可能你会觉得这不可能，但是实际上这并不困难。网络钓鱼者们使用的方法和利用网站漏洞进行的各种攻击一样。由于他们不再需要自己建立一个模拟程度很高的仿冒网站，只需要修改一下官方网站，网站的域名以及页面内容，不会给用户带来任何怀疑，因此这种方式的成功性更高了。
关于网站是如何被修改的，有详细的介绍。在众多攻击方式中，利用PHP服务器的漏洞是其中最典型的一种方法。在National Cyber-Alert CVE-2008-3239 中详细介绍了这种漏洞是如何被利用的:
“在PHPizabi 0.848b C1 HFP1中的writeLogEntry函数中存在不受限的文件上传漏洞。 当服务器开启register_globals 参数时，远程攻击者可以通过CONF[CRON_LOGFILE]参数上传文件名中带有恶意代码的文件，或者通过CONF[LOCALE_LONG_DATE_TIME]参数上传文件内容中带有恶意代码的文件。”
这种攻击的独特性在于，网站开发人员不会发现自己的代码中有任何漏洞，因此也不会对网站代码进行任何修改：
“目前我们还不需要对此给出安全补丁，我们只是希望提醒用户，关闭PHP服务器中的 “REGISTER_GLOBALS”选项。这个参数不但会带来这类风险，还会给系统带来很多意想不到的风险。检查是否进行了正确的服务器配置(关闭“REGISTER_GLOBALS”)，才能确保自己的网站不受攻击。”
PHP服务器供应商的这种态度是网络罪犯们最喜欢的。为了证实这一点，我在不久前曾经对多个网站进行了简单的漏洞测试，发现其中不少都存在这个漏洞。
当前研究
我刚刚读完 Tyler Moore (CRCS Harvard University)和Richard Clayton (剑桥大学计算机实验室)合著的名为《恶魔搜索：互联网主机的网络钓鱼入侵和再入侵 》的报告。报告中针对通过修改官方网站实现窃取用户敏感数据的方法进行了全方位的介绍。另外，文章还将修改官方网站的网络钓鱼方法和直接搭建仿冒网站的传统方法进行了对比：
“到目前为止，最常见的网络钓鱼方法是将原网站入侵，并植入欺骗性质的HTML页面。这种方法占到了当前网络钓鱼总数的75.8%。另一种更简单，但已经不那么流行的方式，是将网络钓鱼网站页面上传到免费服务器上。目前大约17.4% 的网络钓鱼仍然采用这种方式。”
网友评论