一個專家委員會公開投票評出2010年10大網絡技術。一個能夠給在線銀行交易造成威脅的網絡黑客技術列為排在第一位的網絡黑客技術。
這種名為“Padding Crypto Attack”的黑客技術利用的Web框架ASP.NET保護AES加密Cookie的方式實施攻擊。
如果Cookie中的加密數據被修改，ASP.NET處理它的方式就會導致應用程序泄露有關流量加密方式的信息。通過反復改變和泄露信息，黑客就能夠推斷出能夠在加密密鑰中消除哪些字節(jié)。這就會把未知的字節(jié)數量減少到足夠少的程度以便進行猜測。
這個破解技術的開發(fā)者Juliano Rizzo和Thai Duong已經開發(fā)出一個執(zhí)行這個破解任務的工具。
"Padding Oracle Crypto Attack"通過投票被評為排名第一的黑客技術。參與投票的專家包括：InGuardians公司創(chuàng)始人Ed Skoudis;NoScript的作者Girogio Maone;Armorize首席執(zhí)行官Caleb Sima;Veracode首席技術官Chris Wysopal;OWASP董事長兼首席執(zhí)行官Jeff Williams;Independent Security Evaluators公司安全顧問Charlie Miller;IOActive測試經理Dan Kaminsky;Mitre公司的Steven Christey;White Hat負責運營的安全副總裁Arian Evans。
這個排名是由Black Hat、OWASP和White Hat Security贊助實施的。這些黑客技術的細節(jié)將是下個月在德國舉行的IT-Defense 2011會議上演示的主題。
下面是投票評出的10大黑客技術中的其余9項黑客技術。
2. Evercookie — 這個技術能夠讓Java腳本創(chuàng)建隱藏在中8個不同位置的Cookie，從而使人們很難消除這些Cookies。Evercookie能夠讓黑客識別機器，即使傳統(tǒng)的Cookie已經被刪除。這個技術是Samy Kamkar創(chuàng)建的。
3. Hacking Autocomplete(破解自動填表功能)— 如果打開某些瀏覽器的自動填寫網站表格的功能，惡意網站上的腳本就能夠迫使這個瀏覽器利用在受害人計算機中的各種數據填寫個人數據。這個技術是Jeremiah Grossman創(chuàng)建的。
4. 利用緩存注入攻擊HTTPS — 向瀏覽器緩存注入惡意Java腳本庫能夠讓黑客攻破保護的網站。在緩存清除之前這個攻擊都會起作用。在排名100萬之內的網站中幾乎一半的網站都使用Java腳本庫。這個技術是Elie Bursztein、Baptiste Gourdin和Dan Boneh創(chuàng)建的。
5. 利用點擊劫持和HTTP參數污染繞過CSRF保護 — 繞過跨站請求假冒防御并且欺騙受害者泄露自己的電子郵件身份。使用這些技術，攻擊者能夠重置受害人的口令并且獲得訪問受害者賬戶的權限。這個技術是Lavakumar Kuppan創(chuàng)建的。
6.中的通用XSS — IE8有跨站腳本保護功能。這個利用安全漏洞的代碼能夠繞過這個保護措施，允許以惡意的方式不適當地提交網頁。
7. HTTP POST拒絕服務攻擊 — 將HTTP POST頁頭發(fā)送給，讓服務器知道發(fā)送了多少數據，然后這個數據以非常慢的速度發(fā)出，吞噬服務器的資源。當許多這種數據同時發(fā)出的時候，服務器就被壓垮了。這個技術是Wong Onn Chee和 Brennan創(chuàng)建的。
8. JavaSnoop — 附加在目標機上的Java代理與JavaSnoop工具進行通訊，測試這臺機器上的應用程序的安全漏洞。這可以用作安全工具，也可以作為黑客工具，主要取決于用戶的意圖。這個技術是Arshan Dabirsiagh創(chuàng)建的。
9. 火狐瀏覽器中的歷史破解，無需用于內部網端口掃描的JavaScript — 用于定義HTML呈現(xiàn)方式的層疊樣式表(CSS)可用于在受害者訪問網站時獲取瀏覽器歷史。這個歷史信息可用于對受害者實施釣魚攻擊。這個技術是Robert "RSnake" Hansen創(chuàng)建的。
10. Java程序DNS重新綁定攻擊 — 兩個Java程序將瀏覽器導向兩個攻擊者控制的網站，迫使瀏覽器繞過其DNS緩存，從而使瀏覽器容易受到DND重新綁定攻擊。這個技術是Stefano Di Paola創(chuàng)建的。