通过“简易嗅探”这个功能,小黑不仅掌握了小白的很多社交网站的账号,并且熟悉了小白经常浏览的一些网站,对于其使用电脑的习惯有了一个大致的轮廓:小白是一名沉迷于大菠萝3等网游中的单身青年,如同中国绝大多数网民一样,小白使用腾讯的社交软件和360的安全软件。偶尔喜欢用淘宝和京东购物,喜欢购买各种手办和模型,最近希望给自己添置一台笔记本电脑。并且由于小白是单身,因此频繁浏览某相亲网站,积极寻找对象。
经过几天的观察,小黑发现小白会在回家后先在台式机上处理当天的邮件,于是他尝试使用了dSploit另一个异常强大的功能模块:会话劫持。对小白的邮箱进行了劫持:
“会话劫持”功能,顾名思义,就是可以将小白电脑上正在进行的操作劫持到自己的设备中,使得小黑在自己的手机上远程控制着小黑的台式机上的应用,而小白对这一切毫不知情。以邮箱为例,小黑可以在小白的邮箱中做任意的操作,如收发邮件等等。而且,由于小白的邮箱中存有之前找工作时投递的简历,因此小白的姓名,住址,生日,职业,手机号,身份证号,银行卡号,收入等敏感信息也都尽收小黑眼底了。
同样的道理,小白登陆过的微博、人人、淘宝等帐号也都全部可以劫持,通过劫持后的帐号又能看到许多表面看不到的东西。
如果要进一步攻击,小黑完全可以在小白电脑中再植入一个木马,通过键盘记录,可以很轻松地得到小白的很多账号密码甚至网银信息。不过,此时的小黑异常冷静,他知道自己的攻击目标已经达成,因此决定金盆洗手,并且决定通过一个善意的提醒,建议小白修改Wi-Fi密码,给这次渗透攻击的行动,划上一个完美的句号。
这是通过dSploit的 “脚本注入”功能来实现的:小黑将事先编辑好的一段文字,通过JavaScript脚本的形式,推送到小白的台式电脑上:
此时的小白,正在淘宝上兴致勃勃地翻看手办模型,当他正准备打开一张商品大图详细观摩时,突然发现了这段文字:
小白看到后,觉得很是奇怪,误以为是常见的网页弹窗广告。没有予以理会。小黑一看小白不为所动,于是灵机一动,他想到把小白简历上的照片推送给了他:
当小白看到这个之后,才认识到问题的严重性,按照提示迅速修改了密码。大大强化了Wi-Fi的安全性。由于小白这次修改的密码达到了10位以上,并且是同时包含了大小写字母和数字符号的异常强大的密码,以至于小黑也无法再次攻破了,此时的小黑露出了欣慰的笑容。

【防范支招】

尽量不要将自己的设备连接进公共的Wi-Fi。即使连入公共Wi-Fi,不要使用涉及到个人隐私的应用,如邮箱,微信,微博,淘宝等。值得注意的是,小黑的一系列操作都是在一台root过的Android手机上完成的,试想,如果小黑带着这只手机进入星巴克进行操作,那么同网段的收发的数据对于小黑来说是尽收眼底的。
不要以为杀毒软件或个人防火墙能够阻止被劫持。劫持是基于cookies,即使是登陆时经过了二次验证(例如新浪微博的微盾动态密码),仍然可以劫持。
一旦感觉到网络明显变慢,就很有可能是遭遇了会话劫持。此时应该马上注销退出账号,清除cookies,并立即修改Wi-Fi密码。
邮箱和其他社交应用的私信中不要留存重要的信息,应及时删除,并备份到可信的位置。
社交应用与手机之间绑定不要过于集中。同时如非必要,头像也可以考虑不要使用本人头像。
为进一步保证安全性,可以选择使用加密的网络,比如支持“HTTPS”的网站。另外,如果条件允许,可以考虑使用带动态密码验证的VPN,或对传输的文件进行加密。

路由器相关产品

好了,小白和小黑的故事就说到这里。既然是在张大妈上面发文章,自然少不了相关产品的介绍。