Fw: [新聞] 才連中國公共WiFi幾分鐘 他2.8萬存款不翼已刪文

看板MobileComm作者 (10K高清天才小釣手)時間6年前 (2018/02/20 19:51), 6年前編輯推噓24(54推 30噓 38→)
留言122則, 92人參與, 6年前最新討論串1/2 (看更多)
※ [本文轉錄自 Gossiping 看板 #1QZ0hLmb ] 作者: ReDmango (10K高清) 看板: Gossiping 標題: Re: [新聞] 才連中國公共WiFi幾分鐘 他2.8萬存款不翼 時間: Tue Feb 20 19:47:30 2018 Wifi Phishing這東西應該也快20年了， 但是到2018年的今天，大家還是很喜歡用公共免費Wifi呵呵。 本篇介紹資安基礎中的基礎，盡量將名詞翻譯成一般人可以聽懂的。 Wifi Phishing大致上分成三種： 一、假造熱點，提供網際網路。 二、假造熱點，不提供網際網路。 三、攻擊熱點，直接擷取資料。 給大家一個簡單的基本概念： 只要掌控封包， 使用者所有未加密的資訊都將會開誠布公， 一五一十的出現在你面前。 (像PTT預設就是明碼傳輸，你的WIFI提供者可以直接看到妳的帳號密碼) 明碼傳輸連一點技術門檻都沒有，連破解都不用破解。 而已加密的資訊，目前使用SSL2.0的伺服器也幾乎都有辦法破解， 只是運算的時間問題。 一、假造熱點，提供網際網路。 透過偽裝的熱點名稱，讓終端使用者連入， 你就可以掌控使用者傳送的所有封包。 也可以透過DNS Forwarding，造假使用者想要連接的網頁。 現在我們來假設終端使用者的裝置，想要連線上Gmail.com， 其實是連接到127.0.0.1/hack-gmail。(假設) 127.0.0.1是你自己的電腦， hack-gmail是當使用者連線上Gmail.com時所實際開啟的網頁， 此時使用者裝置認為的Gmail.com就是你的電腦的這個網頁。 現在使用者透過他的裝置開啟的Gmail.com已經被你所掌控， 他只要一輸入帳號密碼，其實是寫到你自己建立的資料庫中， 你再撈出這個帳密，到真的Gmail.com填入，再把畫面騰給使用者， 終端使用者並不會感受到任何差異，他最終打開的依然是他的Gmail信箱， 信也都是他的，也可以正常收信、寄信或者執行任何動作。 任何的網站皆可以如此做，只是複雜度與時間性的問題。 如果今天偽裝了一個網路銀行的頁面，讓你輸入了登入驗證資訊， 你的網路銀行立刻門戶大開。 偽裝網站只是最常見的一件攻擊方式， 可以很簡單，也可以很難。 除此外還有無數種可以獲取使用者資料的模式。 而拿到使用者的帳號密碼後，基本上網路上所有的服務你都可以登入， 因為大多數的使用者在所有的服務上，都使用完全相同的帳號密碼。 二、假造熱點，不提供網際網路。 呈上點，你已經知道了最常見的造假網站。 造假網站最難的技術門檻是，要把使用者導回真正的網站， 那我們乾脆不要把使用者導回真正的網站如何？ 這樣就簡單多了，技術門檻直接大幅下降。 你會問：「不轉回真正的網站，那使用者不就知道網路被駭了？」 對阿，到這裡你就該知道有問題了，但是有九成九的人，都不會覺得異常。 這次以Facebook來舉例。 比較初階的模式，只做登入頁面，使用者登入後，就一片空白沒有下一步了。 進階一點，我們可以做一個「帳號密碼輸入錯誤」的提醒頁面。 唉，既然都已經做了輸入錯誤的頁面，那乾脆這邊也寫入資料庫好了吧， 使用者會因為帳號密碼顯示錯誤，不停地嘗試各種自己用過的帳號密碼。 你輸入的每一個帳號密碼，我都記錄在資料庫裡了， 那麼以後我只要用這些帳號密碼去試你別的服務，總有一個會中。 既然輸入錯誤的頁面都已經做了， 那乾脆做一個忘記密碼的頁面吧。 於是又做了一個忘記密碼的頁面， 使用者輸入的信箱、安全驗證問題(你小學老師或你家狗叫啥等等)， 也全都記錄在資料庫中。 然後你再去信箱收信，可是信箱也是被假造的網站， 於是你發現原本要登Facebook登不進，現在連信箱都登不進了。 也就是有心人目前已經得知了你的Facebook帳號密碼， 也知道了你的安全驗證問題，也知道了你收驗證信用的Gmail信箱帳號密碼。 喔對了，那乾脆再做一個， 你的帳號異常遭鎖定，需要提交Facebook身分證件頁面好了， 於是乎你的身分證件也被你拍下來上傳給我了。 現在的終端使用者大部分都會記憶連過的熱點名稱， 連接到偽裝過的公共WIFI後，進入假的Captive Portal認證登入頁面， 使用者輸入帳號密碼，就提供給他網際網路。 在很多不安全的Captive Portal頁面，「記住我」是一件非常可怕的事情， 透過Cookie或裝置其他方式自動化的輸入或登入， 讓使用者沒有可以察覺網頁異常的時間， 便自動將帳號密碼直接送給他人。 而又回到剛剛講過的多數人所有帳密都一樣的問題上， 知道了你的網路認證密碼，基本上其他的也都拿到了。 一直以來iTaiwan都有這個問題，我在多年前也反映給國發會過， 只要很簡單的改進方式就可以改善，結果數年來一直都沒改， 一直到去年底我發現終於iTaiwan在cookie中加上了認證的標籤。 好，講了那麼多，其實上面講的都是最易懂的釣魚方式， 結論就是，當你別人WiFi的那一刻，你基本上就已經在裸奔了。 (當然用自己的也可能就是了拉) #基本上會用公共WiFi跟抗拒行動支付是同一群人 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 150.117.205.99 ※ 文章網址: https://www.ptt.cc/bbs/Gossiping/M.1519127253.A.C25.html ※ 編輯: ReDmango (150.117.205.99), 02/20/2018 19:53:56
推
02/20 19:58, 6年前 , 1F
推專業分析 看來還是乖乖用行動數據比較保險
02/20 19:58, 1F
推
02/20 20:00, 6年前 , 2F
推
02/20 20:00, 2F
推
02/20 20:00, 6年前 , 3F
推
02/20 20:00, 3F
推
02/20 20:01, 6年前 , 4F
推
02/20 20:01, 4F
推
02/20 20:03, 6年前 , 5F
那有什麼WiFi服務是安全的嗎
02/20 20:03, 5F
--高光：實作iTaiwan--
推
02/20 20:03, 6年前 , 6F
推個 前陣子看到的 也是在講一樣的事情
02/20 20:03, 6F
→
02/20 20:03, 6年前 , 7F
02/20 20:03, 7F
--
推
02/20 20:03, 6年前 , 8F
理論上只要不登入就沒問題了。
02/20 20:03, 8F
→
02/20 20:03, 6年前 , 9F
還有在captiveportal掛馬放挖礦腳本的,技術上不難
02/20 20:03, 9F
推
02/20 20:04, 6年前 , 10F
共產黨的概念：你的就是我的
02/20 20:04, 10F
→
02/20 20:04, 6年前 , 11F
WiFi熱點原則上要選有密碼的 例如CHT WiFi Auto
02/20 20:04, 11F
→
02/20 20:06, 6年前 , 12F
就是要在連上網路前就要登入的那種
02/20 20:06, 12F
→
02/20 20:06, 6年前 , 13F
不是先連上才跳出登入頁面的←Captive Portal
02/20 20:06, 13F
推
02/20 20:07, 6年前 , 14F
這也是為什麼Chrome要網頁加密的關係
02/20 20:07, 14F
→
02/20 20:10, 6年前 , 15F
不過最後一句比較偏頗,我不用free wifi只是因為不穩
02/20 20:10, 15F
推
02/20 20:11, 6年前 , 16F
推
02/20 20:11, 16F
推
02/20 20:13, 6年前 , 17F
專業分析，推
02/20 20:13, 17F
→
02/20 20:13, 6年前 , 18F
free wifi基本上沒有安全,隨時掛著VPN是唯一解
02/20 20:13, 18F
推
02/20 20:21, 6年前 , 19F
推，感謝分享
02/20 20:21, 19F
推
02/20 20:22, 6年前 , 20F
ssl? 都tls了..
02/20 20:22, 20F
推
02/20 20:23, 6年前 , 21F
最後一句太偏激了，壞了一個好文章
02/20 20:23, 21F
推
02/20 20:29, 6年前 , 22F
除了最後一句，其他都推
02/20 20:29, 22F
※ 編輯: ReDmango (150.117.205.99), 02/20/2018 20:33:37
推
02/20 20:33, 6年前 , 23F
tls 2.0才安全許多
02/20 20:33, 23F
推
02/20 20:37, 6年前 , 24F
推專業
02/20 20:37, 24F
噓
02/20 20:42, 6年前 , 25F
最後一句?
02/20 20:42, 25F
推
02/20 20:42, 6年前 , 26F
最後一句毀了，因為有密碼的wifi也有被攻破的
02/20 20:42, 26F
噓
02/20 20:44, 6年前 , 27F
噓最後一句，真的自以為...
02/20 20:44, 27F
推
02/20 20:45, 6年前 , 28F
行動支付台灣真的很需要嗎? 不解
02/20 20:45, 28F
推
02/20 20:47, 6年前 , 29F
整體來說這篇說得正確 推一下
02/20 20:47, 29F
推
02/20 20:49, 6年前 , 30F
最後一句很有道理，基本上就是老人思想會做的事
02/20 20:49, 30F
推
02/20 20:50, 6年前 , 31F
推，大家都在網路上裸奔～～
02/20 20:50, 31F
→
02/20 20:53, 6年前 , 32F
最後一句..我常用..偶而也會開行動網銀轉帳
02/20 20:53, 32F
推
02/20 20:54, 6年前 , 33F
個人覺得最大的問題是出在公共WiFi的owner都不改善
02/20 20:54, 33F
→
02/20 20:55, 6年前 , 34F
資安狀況... 反正有問題就放在那邊給它爛
02/20 20:55, 34F
推
02/20 20:55, 6年前 , 35F
只是運算的時間問題?其實不管什麼加密方式給你足夠
02/20 20:55, 35F
推
02/20 20:55, 6年前 , 36F
我只會偽裝同Wifi騙wifi密碼==
02/20 20:55, 36F
還有 53 則推文
還有 1 段內文
→
02/21 00:43, 6年前 , 90F
你這篇就只是基礎觀念啊
02/21 00:43, 90F
噓
02/21 01:05, 6年前 , 91F
最後一句有事嗎？
02/21 01:05, 91F
推
02/21 01:15, 6年前 , 92F
福岡機場的國際線候機室也遇到偽造的SSID，和正常的
02/21 01:15, 92F
→
02/21 01:15, 6年前 , 93F
只差了一個字
02/21 01:15, 93F
噓
02/21 02:15, 6年前 , 94F
欠噓
02/21 02:15, 94F
推
02/21 02:33, 6年前 , 95F
整篇優文被最後一句毀了XD
02/21 02:33, 95F
→
02/21 02:33, 6年前 , 96F
話說樓上是啥時遇到的 我好像上週才去欸……
02/21 02:33, 96F
噓
02/21 02:45, 6年前 , 97F
最後一句有夠無聊，難道外國人用公共wifi也是抗拒
02/21 02:45, 97F
→
02/21 02:45, 6年前 , 98F
行動支付的人嗎？
02/21 02:45, 98F
推
02/21 03:28, 6年前 , 99F
推
02/21 03:28, 99F
→
02/21 04:32, 6年前 , 100F
我平時都是現金頂多刷個小卡買淘寶 但我中華吃到飽
02/21 04:32, 100F
→
02/21 04:33, 6年前 , 101F
我是覺的手機pay感覺還不太安全所以還是現金為主
02/21 04:33, 101F
→
02/21 04:34, 6年前 , 102F
然後我也只有一張郵局金融visa卡 app能查刷剩多少
02/21 04:34, 102F
→
02/21 04:35, 6年前 , 103F
我中華吃到飽但也沒想用手機pay倒是 時機還不到吧
02/21 04:35, 103F
噓
02/21 06:37, 6年前 , 104F
最後一句
02/21 06:37, 104F
噓
02/21 06:53, 6年前 , 105F
最後？
02/21 06:53, 105F
推
02/21 07:23, 6年前 , 106F
本來看到最後一句愣了一下， 然後看到這麼多人被說
02/21 07:23, 106F
→
02/21 07:23, 6年前 , 107F
中真的覺得雞皮疙瘩
02/21 07:23, 107F
推
02/21 07:29, 6年前 , 108F
由此可知，很多人看完文章了呀~
02/21 07:29, 108F
推
02/21 07:53, 6年前 , 109F
最後一句沒什麼好噓的，就反智反科技不願瞭解技術過
02/21 07:53, 109F
→
02/21 07:53, 6年前 , 110F
程的那群人呀
02/21 07:53, 110F
推
02/21 07:57, 6年前 , 111F
笑死 釣到一堆原始人
02/21 07:57, 111F
推
02/21 07:57, 6年前 , 112F
最後一句滿正確的，看上面的噓就知道了
02/21 07:57, 112F
推
02/21 08:21, 6年前 , 113F
之前去珠海用飯店房間公用wifi就是這種狀況，回來一
02/21 08:21, 113F
→
02/21 08:21, 6年前 , 114F
直被人登入，不過因為手機號碼在我手上他沒法改密碼
02/21 08:21, 114F
→
02/21 08:21, 6年前 , 115F
，所以我再改過一次後就正常了
02/21 08:21, 115F
推
02/21 09:25, 6年前 , 116F
現在公共的Wi-Fi那麼慢 我都懶得開了
02/21 09:25, 116F
噓
02/21 09:35, 6年前 , 117F
最後一句
02/21 09:35, 117F
推
02/21 09:37, 6年前 , 118F
免費的東西就是這樣
02/21 09:37, 118F
噓
02/21 11:12, 6年前 , 119F
釣魚失敗
02/21 11:12, 119F
噓
02/21 11:29, 6年前 , 120F
good
02/21 11:29, 120F
噓
02/21 11:42, 6年前 , 121F
認同...
02/21 11:42, 121F
推
02/21 11:59, 6年前 , 122F
推
02/21 11:59, 122F
噓
02/21 12:31, 6年前 , 123F
最後一句
02/21 12:31, 123F
推
02/21 13:38, 6年前 , 124F
釣中滿滿的人 果然很準
02/21 13:38, 124F
推
02/21 17:14, 6年前 , 125F
推..長知識
02/21 17:14, 125F
噓
02/21 17:34, 6年前 , 126F
我不用公共Wifi，我也不想用行動支付
02/21 17:34, 126F
推
02/21 18:14, 6年前 , 127F
理組邏輯真的很棒
02/21 18:14, 127F
噓
02/21 19:36, 6年前 , 128F
你真棒
02/21 19:36, 128F
推
02/21 23:22, 6年前 , 129F
天才小釣手
02/21 23:22, 129F
‣ 更多 ReDmango 的文章
文章代碼(AID): #1QZ0lRwR (MobileComm)
‣ 更多 ReDmango 的文章
文章代碼(AID): #1QZ0lRwR (MobileComm)