日益猖獗的攻击工具：账户检查器

F5

今天，我们将介绍并解析一种在客户中日益常见的攻击工具：Account Checker。

这种凭据填充工具并非新事物，但其使用量正大幅上升，原因将在下文讨论。账户检查器虽然原理非常简单且易于使用，但功能十分强大。

账号检查器说明

账户检查器是一种攻击工具，它会获取泄露的用户名和密码组合列表（即“凭据”），并在目标网站上逐一测试。

功能强大的账户检查器软件包价格低至100美元，攻击者还可以使用Mechanize、PhantomJS、IEC.py、Sikuli、Selenium或iMacros等现成的Web自动化工具包自行创建账户检查器。这些工具包降低了编写账户检查器和实施凭据填充攻击的技术门槛。

账户检查器的使用方式解析

1. 攻击者从网站数据泄露事件或密码转储网站获取泄露的密码
2. 攻击者使用账户检查工具在多个网站上测试被盗凭据
3. 成功登录（通常占总数的0.1%–2%）会导致账户被接管
4. 攻击者盗取被盗用账户中的储值、信用卡号及其他个人身份信息
5. 攻击者还可能利用此账户从事其他恶意活动（发送垃圾信息、进行更多交易等）

良性账户检查器示例

下面以一个名为“namechk.com”的“良性”账户检查工具为例，说明账户检查工具的工作原理。该工具可检查指定用户名在多个社交网络上是否可用。我们检查了用户名“shapesecurity”，该工具准确识别出了所有已占用该用户名的网站。

此服务使用脚本，自动在图片中显示的所有网站（例如Blogger、Facebook、Youtube、Twitter等）上测试指定用户名是否可用。

犯罪分子使用的账户检查工具与上述工具的工作方式相同，并增加了其他功能，例如检查各种密码（基于猜测算法生成，或选自25 个常用密码）能否登录该网站。出于恶意目的检查用户名和密码的整个过程，会导致凭据填充攻击广泛发生。

一项Microsoft研究发现，普通用户拥有略多于6个密码，每个密码会在4个不同的网站上重复使用，而每位用户大约有25个需要密码的账户。这意味着，任何一处发生数据泄露，都可能导致3.9个常用网站的密码被公开。

攻击就绪账户检查器示例

Brian Krebs曾撰文介绍下面这款现成的账户检查工具。入侵Hilton时使用的正是同类工具。

此检查工具能够确定凭据是否有效，并抓取积分余额、信用卡号后四位以及该卡的账单地址。

以下是账户检查器底层代码的示例。此账户检查器会测试大量凭据。发现一组有效凭据后，它会从账户中抓取个人身份信息（PII），并窃取储值和信用卡详细信息。

攻击者从何处获取凭据列表？

任何账户检查工具都需要凭据列表作为攻击资源。对攻击者而言，大量凭据已公开可见。

• 38,000,000个Adobe账户
• 318,000个Facebook账户
• 70,000 个Google账号
• 60,000个Yahoo账户
• 22,000个Twitter账户
• 8,000个ADP账户
• 8,000个LinkedIn账户

这个Twitter账号每天还会泄露数百条凭据：twitter.com/dumpmon。许多安全专业人员使用此列表来识别各自网站上已遭入侵的用户账号，并锁定这些账号。攻击者显然也会结合账号检查工具使用此列表，查找存在安全隐患的账号，进而利用这些账号开展各种欺诈活动。

安全专业人员可以采取哪些措施来遏制账户检查工具，并防止攻击者劫持用户账户？

要回答这个问题，需要了解账户检查工具的工作机制。

帐户检查器将登录页面的静态表单元素用作隐式API来运行。在上述代码示例中，攻击者通过引用各种表单元素名称与目标网页交互。大多数网站无法区分此类交互与正常的人工交互。

，因而会直接接受这些攻击流量。攻击者由此可以使用账户检查工具对网站进行自动化操作，并在几天或几周内轻松完成数百万次测试（通常会使用大型分布式僵尸网络和大量IP地址，以规避速率和流量限制）。因此，即使技术水平不高的攻击者，也能轻易对全球许多大型网站发起强力攻击。

为保护网站免受此类活动（我们称之为“不必要的自动化”）的影响，我们采用了一种攻击者熟悉的方法：每次浏览页面时都会更改网站的底层代码。恶意软件作者长期以来一直利用多态代码不断呈现不同的特征码，以规避防病毒产品；同样，Shape的解决方案也会创建一个不断变化的目标，阻碍试图自动操作网站的脚本。这样，系统管理员便可提高攻击者成功编写脚本或自动操作特定网站所需投入的成本。

当然，熟悉相关技术的读者会指出，攻击还可以通过许多其他方式实施。对此类攻击（DOM、GUI及其他攻击）的探讨超出了本文范围，但或许会成为后续文章的主题。Shape自然会重点关注全面抵御所有此类攻击，并针对各个层面提供相应的解决方案。

关于作者

F5

F5 的更多博客文章