常见的弱点枚举

一些符号、图片、图标可以在语义上不同的程序,当出现非常相似或相同的人类用户。这些被称为homoglyphs。例如,大写和小写字母“l”(魔法)“我”(眼睛)有不同的字符编码,但这些字符可以用完全相同的方式显示给用户,根据字体。这之间也会发生不同的字符集。例如,拉丁大写字母“A”和希腊大写字母“Α”(α)被视为不同的项目,但可能是在完全相同的方式显示给用户。重音符号也可能导致字母出现非常相似,如拉丁大写字母坟墓标志“A”及其等价的“A”与急性口音。

对手可以利用这种视觉相似性网络钓鱼等攻击,如通过提供一个链接到一个attacker-controlled主机名,看起来像一个主机名受害者的信任。在不同使用homoglyphs,敌人可能创建一个后门的用户名,是视觉上类似于普通用户的用户名,然后让系统管理员更难检测恶意用户名同时审查日志。

该清单显示了给定的弱点可以可能的地区出现。这些可能是为特定命名的语言,操作系统,架构、模式、技术、或一个类这样的平台。列出的平台是随着频率的出现疲态实例。

语言

技术

示例1

下面的看起来像一个简单的、可信赖的URL,用户可能经常访问。

然而,上面的URL由斯拉夫字母字符看起来相同的预期的ASCII字符。这导致了大多数用户无法区分这两个和假设上面的URL是信任和安全。“e”实际上是“斯拉夫字母小写字母”即是在HTML字符& # x435来表示的,而“a”实际上是“斯拉夫字母小信”,这是在HTML字符& # x430表示。“p”、“c”和“o”在这个例子也斯拉夫字母字符。查看源代码显示URL“http://www.& x435; x # x430;猴x440; l # x435;强生# x441; & # x43e; m”。敌人可以利用这种方法来执行攻击如钓鱼攻击以恶意网站的流量。

示例2

以下显示的一个例子如何创建用户名包含homoglyphs会导致日志伪造。

假设敌人访问一个合法的、可信域并创建一个名为“admin”的账户,除了“a”和“我”而不是预期的ASCII字符斯拉夫字母字符。任何行动的对手执行将被保存到日志文件和看起来好像来自一个合法的管理员帐户。

细看生成三个日志条目的账户是“& # x430; dm # x456; n”。只有第三个日志条目是通过合法的管理员帐户。这使它更加难以确定哪些行为是执行的对手,哪些行为是合法执行“admin”账户。