20199108 2019-2020-2 《网络攻防实践》第12周作业

1.实践内容

web浏览器的技术发展与安全威胁

web浏览器软件的安全威胁

复杂性：现代web浏览器软件由于需要支持HTTP HTTPS FTP等多种类型的应用层协议浏览，符合HTML XHTML CSS等一系列的页面标准规范，支持多种客户端执行环境，满足大量用户的浏览需求，变得非常庞大和复杂。也就导致了浏览器软件中存在着可被渗透攻击所利用的大量安全漏洞。
可扩展性：现代浏览器软件都支持第三方插件扩展机制，但第三方扩展插件的开发过程缺乏安全保证，出现安全漏洞的情况更为普遍。
连通性：浏览器始终工作在联网状态，一旦其中存在安全漏洞，就很容易被网络上的威胁源利用与攻击。

web浏览器安全威胁位置

针对传输网络的网络协议安全威胁
针对web浏览器端系统平台的安全威胁——桌面操作系统所存在的安全漏洞使得web浏览器环境存在着被攻击的风险。
针对web浏览器软件及插件程序的渗透攻击威胁
针对互联网用户的社会工程学攻击威胁

web浏览器端的渗透攻击威胁——网页木马

被隐蔽地挂接在一些提供真实内容的网页上，用户在访问这些网页时，网页木马会神不知鬼不觉地向用户计算机中植入恶意程序，与传统木马程序相比，网页木马还是具有较大的差异性，并体现出更高的复杂性。

网页木马的本质核心就是利用脚本语言实现对web浏览器软件安全漏洞的渗透攻击，从而向客户端主机中植入恶意程序。我们定义网页木马是对web浏览器端软件进行客户端渗透攻击的一类恶意移动代码，通常以网页脚本语言或flash、PDF等恶意构造的web文件形式存在，通过利用web浏览器端软件中存在的安全漏洞，获得客户端计算机的控制权限以植入恶意程序。

对网页木马机理的理解

由于网页木马采用客户端渗透攻击的形式，需要web浏览器端软件访问恶意构造的web页面内容，才可能触发渗透攻击过程。因此网页木马的攻击是被动式的，需要一些技术方法诱使互联网用户来访问网页木马页面。

网页挂马机制

在编写完成网页木马渗透攻击代码之后，为了使得能够有终端用户使他们可能存在安全漏洞的web浏览端软件来访问网页木马，攻击者还需要将网页木马挂接到一些拥有客户访问流量的网站页面上，这一过程称为网页挂马。

内嵌HTML标签

iframe标签的功能是在页面中创建一个内嵌的框架，用于包含和显示其他文档页面，当包含页面被浏览器打开时，被包含的页面也会同时被请求并显示在内嵌框架中。