网络黑客使用的网络钓鱼技术_网络钓鱼黑客技术怎么样

何谓网络钓鱼？其危害有哪些？

“网络钓鱼”是一种利用网络骗取用户个人信息的程序。黑客可以利用这个程序假扮成信誉良好的银行、网店等公司，以此向用户索要账户名及密码等信息，进而利用信息进行诈骗、间谍等经济犯罪。

据国外媒体报道，美国加州、内华达州和北卡罗来纳州的执法人员10月7日逮捕了33名涉嫌参与国际“钓鱼”犯罪的嫌疑人。该团伙涉嫌通过虚假邮件诱骗数千用户向假冒网站提交自己的私人及财务数据，随后将受害人账户中的资金转移到新的账户，转移资金超过150万美元。

目前，针对邮件安全的产品值得推荐的是飞塔公司的Fortigate,它不但能对邮件进行检测和安全扫描，对恶意附件进行检测、阻断外，还能自动对垃圾邮件进行分类，大大节约了工作时间，并保证邮件相关信息的安全。

网上钓鱼式攻击的危害有哪些？

网络钓鱼是通过大量发送声称来自于银行或其他知名机构的欺骗性邮件，意图引诱收信人给出敏感信息如用户名、口令、帐号 ID 、ATM PIN 码或信用卡详细信息的一种攻击方式。最典型的网络钓鱼攻击是将收信人引诱到一个通过精心设计与目标网站非常相似的钓鱼网站上，获取个人敏感信息，而这些个人的信息被泄露以后，网络钓鱼攻击者就可以假冒受害者进行欺诈性金融交易，从而获得经济利益，致使受害者经常遭受显著的经济损失。

网络钓鱼的诱骗手段很多，主要有：通过网络发布虚假、低价的产品的三种攻击方式信息作为诱饵，诱使购物心切的人们上当受骗；

利用一些网络技术四处传播木马病毒，窃取电脑机密；窃取银行卡的帐号、密码等重要信息，让人们受到经济上的损失；

搭建虚假电子商务平台建立假冒网站等实施欺诈行为，从而达到“网络钓鱼”的目的。

以上是三种网络诈骗的重要手法，随着钓鱼式攻击技术的发展，新的攻击方式不断出现和扩展，其攻击手段越来越狡猾，调查表明今年以来有关部门就监测到上百起钓鱼式攻击方式。

钓鱼网站的技术分析

网络安全技术人员认为钓鱼网站技术含量不高，个人要会防范。“钓鱼网站”主要集中在两方面：一种是模仿央视、腾讯等假冒抽奖网站，如多地出现的仿冒“非常6+1”节目中奖信息骗取网民钱财的网络诈骗事件，主要特征是以中奖为诱饵，欺骗网民填写身份信息、银行账户等信息；另一种是模仿淘宝、工行等在线支付网页，骗取网民银行卡信息或支付宝账户。在安全技术人员眼里，“网络钓鱼”没有太多技术含量，主要是利用人们的心理来实现诈骗。

中国互联网络信息中心的专家认为，一是人们受中奖或其他物质奖励诱惑而放松戒备；二是人们缺乏对网站真伪性验证的知识和方法。另外，多数受骗用户在网上填报个人信息，特别是财务信息时缺乏防范意识，没有仔细验证网页的真实性。

专家说，“钓鱼网站”其实不难判别，一般假网站只有一个页面，没有任何链接。真的网站，首页不仅内容丰富，而且还能提供详细的联系方式。验证一个网站的真伪，还可以通过中国互联网络信息中心官方网站查询真实域名，也可以通过登录工信部ICP/IP地址/域名信息备案管理系统，获得网站的真实信息。

因为“网络钓鱼”都是以大奖诱惑消费者，因此消费者要对网络中奖活动提高防范意识；而在网络支付时也要小心谨慎，通过域名注册信息、第三方权威认证服务等多种手法验证网站真实性，同时，网民一定要重视个人信息的保护，包括个人联系方式、身份证号码、银行卡信息等。

钓鱼网站的设计通常有两种方式：第一种以“中奖”等名义为诱饵，诱骗用户填写身份证号码、银行帐户等信息；第二种模仿银行在线支付、电子交易网站，骗取用户的银行卡信息或者在线支付账号密码。整个过程如同钓鱼一般，这样的恶意网站也就被称作“钓鱼网站”。这样的钓鱼手法技术含量并不高，或者利用人们贪图便宜的心理上当受骗，或者利用部分网民防范欺诈意识的薄弱。人们一旦上当，或者个人隐私信息泄露并被贩卖，或者因为在网站上填写了银行账号信息，相应的资产会被立刻转走，追悔莫及。 1、黑客通过钓鱼网站设下陷阱，大量收集用户个人隐私信息，通过贩卖个人信息或敲诈用户；

2、黑客通过钓鱼网站收集、记录用户网上银行账号、密码，盗取用户的网银资金；

3、黑客假冒网上购物、在线支付网站，欺骗用户直接将钱打入黑客账户；

4、通过假冒产品和广告宣传获取用户信任，骗取用户金钱；

5、恶意团购网站或购物网站，假借“限时抢购”、“秒杀”、“团购”等噱头，让用户不假思索地提供个人信息和银行账号，这些黑心网站主可直接获取用户输入的个人资料和网银账号密码信息，进而获利。 互联网上活跃的钓鱼网站传播途径主要有八种：

1、通过QQ、MSN、阿里旺旺等客户端聊天工具发送传播钓鱼网站链接；

2、在搜索引擎、中小网站投放广告，吸引用户点击钓鱼网站链接，此种手段被假医药网站、假机票网站常用；

3、通过Email、论坛、博客、SNS网站批量发布钓鱼网站链接；

4、通过微博、Twitter中的短连接散布钓鱼网站链接；

5、通过仿冒邮件，例如冒充“银行密码重置邮件”，来欺骗用户进入钓鱼网站；

6、感染病毒后弹出模仿QQ、阿里旺旺等聊天工具窗口，用户点击后进入钓鱼网站；

7、恶意导航网站、恶意下载网站弹出仿真悬浮窗口，点击后进入钓鱼网站；

8、伪装成用户输入网址时易发生的错误，如gogle. com、sinz. com等，一旦用户写错，就误入钓鱼网站。

钓鱼网站是什么概念？它是怎么样实现其功能的？

钓鱼网站通常是指伪装成银行及电子商务等网站，主要危害是窃取用户提交的银行帐号、密码等私密信息。

网络钓鱼是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息（如用户名、口令、帐号 ID 、 ATM PIN 码或信用卡详细信息）的一种攻击方式。最典型的网络钓鱼攻击将收信人引诱到一个通过精心设计与目标组织的网站非常相似的钓鱼网站上，并获取收信人在此网站上输入的个人敏感信息，通常这个攻击过程不会让受害者警觉。这些个人信息对黑客们具有非常大的吸引力，因为这些信息使得他们可以假冒受害者进行欺诈性金融交易，从而获得经济利益。受害者经常遭受显著的经济损失或全部个人信息被窃取并用于犯罪的目的。这篇“了解你的敌人”文章旨在基于 德国蜜网项目组 和 英国蜜网项目组 所搜集到的攻击数据给出网络钓鱼攻击的一些实际案例分析。这篇文章关注于由蜜网项目组在实际环境中发现的真实存在的网络钓鱼攻击案例，但不会覆盖所有可能存在的网络钓鱼攻击方法和技术。攻击者也在不断地进行技术创新和发展，目前也应该有（本文未提及的）新的网络钓鱼技术已经在开发中，甚至使用中。

在给出一个简要的引言和背景介绍后，我们将回顾钓鱼者实际使用的技术和工具，给出使用蜜网技术捕获真实世界中的网络钓鱼攻击的三个实验型研究的案例。这些攻击案例将详细地进行描述，包括系统入侵、钓鱼网站架设、消息传播和数据收集等阶段。随后，将对其中普遍应用的技术及网络钓鱼、垃圾邮件和僵尸网络等技术进行融合的趋势给出分析。钓鱼者使用恶意软件进行自动化地 Email 地址收集和垃圾邮件发送的案例也将被回顾，同时我们也将展示我们在网络扫描技术及被攻陷主机如何被用于传播钓鱼邮件和其他垃圾邮件上的发现。最后，我们对本文给出结论，包括我们在最近 6 个月内获得的经验，以及我们建议的进一步研究的客体。

这篇文章包括了丰富的支持性信息，提供了包含特定的网络钓鱼攻击案例更详细数据的链接。最后声明一下，在研究过程中，我们没有收集任何机密性的个人数据。在一些案例中，我们与被涉及网络钓鱼攻击的组织进行了直接联系，或者将这些攻击相关的数据转交给当地的应急响应组织。

引言

欺骗别人给出口令或其他敏感信息的方法在黑客界已经有一个悠久的历史。传统上，这种行为一般以社交工程的方式进行。在二十世纪九十年代，随着互联网所连接的主机系统和用户量的飞速增长，攻击者开始将这个过程自动化，从而攻击数量巨大的互联网用户群体。最早系统性地对这种攻击行为进行的研究工作在 1998 年由 Gordon 和 Chess 发表。（ Sarah Gordon, David M. Chess: Where There's Smoke, There's Mirrors: The Truth about Trojan Horses on the Internet , presented at the Virus Bulletin Conference in Munich, Germany, October 1998 ） Gordon 和 Chess 研究针对 AOL （美国在线）的恶意软件，但实际上他们面对的是网络钓鱼的企图而不是他们所期望的特洛伊木马攻击。网络钓鱼 (Phishing) 这个词 (password harvesting fishing) 描述了通过欺骗手段获取敏感个人信息如口令、信用卡详细信息等的攻击方式，而欺骗手段一般是假冒成确实需要这些信息的可信方。