セキュリティチュートリアル：CSSぶら下げ馬とその防止策について（1）

Web 2.0の普及に伴い、さまざまなWebエフェクトが使用されるようになり、ハッカーにもチャンスが訪れています。彼らは、Web効果を作成するために使われたCSSコードが馬を吊るすためにも使われることができることを発見した。皮肉なことに、CSSハングアップ方法は、実際にはIFRAMEを保護するCSSコードから発展しました。
Antian Lab A Nan：セキュリティエンジニア、長年ウイルス分析に携わっていました。

ウェブサイトのハングアップ方法は最初はとても簡単ですが、Web2.0技術とブログ、wikiなどの幅広いアプリケーションで、CSSが馬を吊るすさまざまな技術があります。 Web2.0時代のハッカーのお気に入りであると言われました。 CSSを使用しているハッカーによって侵略されている多くの非常に有名なWebサイトがあります。

私の印象で、最も記憶に残るものはBaidu Space CSSです。その時、Baiduスペースが間もなく打ち上げ、多くのBaiduユーザーが駅で同様の「ハ、幸せな休日！暖かく祝う2008、良い気分で、私のことを考えてください！http://hi.baidu.com/XXXXX」を受けましたメッセージ

このURLはBaidu SpaceのURLなので、セキュリティ上の問題はないと考えており、友達から送信される可能性があるので、迷わずにクリックします。ただし、指定されたURLを入力した後、ユーザーはワームに感染し、拡散を続けます。

非常に深刻なワームの蔓延により、Baidu Spaceはユーザーに注意を促し、サーバー内のワームから悪意のあるコードを削除するための公式声明を発表する必要がありました。当時、Hanging HorseイベントはBaidu space CSSテンプレート関数を使用して、変形した式を通してCSSコード内のスクリプトを動的に実行し、指定されたリモートの悪意のあるコードファイルをバックグラウンドで静かに実行し、大量の偽造情報を送信しました。

あなたが奇妙なリンクをクリックするとき、あなたは複数の心を持っているべきであり、そして大きなウェブサイトは絞首刑にされるかもしれないことを私は提案する。インターネットに接続しているときは、Webページブロック機能を備えたセキュリティエイドを使用するのが最善です。

ハッカーがCSSぶら下げ馬を選ぶ理由

Web1.0時代に、IFRAMEを使って馬を吊るすことは、トロイの木馬の隠れ方をより良く理解するために、無力なハッカーとしてあまり選択されていません。対話性に欠ける単純なHTMLページやWebサイトでは、ハッカーは非常に限られた手段を使用できますが、複雑なカモフラージュを使用したとしても、それらは見やすく、IFRAMEほど直接的ではありません。

しかし今日では、ユーザーがブログ、SNSコミュニティなどを設定および変更することを可能にする、よりインタラクティブなWeb 2.0サイトが増えています。これらの非常にインタラクティブなコミュニティやブログはしばしば豊富な機能を提供し、CSSカスケードスタイルシートを使ってサイトのページを自由に変更することを可能にし、それがCSSの普及を促しました。

小型百科事典：CSSはCascading Style Sheetsの略です。 CSSの主な目的は、ファイルの構造から（HTMLまたは他の関連言語で書かれた）ファイルの構造を分離することです。この分離により、ファイルが読みやすくなり、ファイル構造がより柔軟になります。

ハッカーがCSSを使用して馬を吊るしているとき、彼らはCSSをサポートするブログや他のWebページにCSS悪意のあるコードをハングアップさせるために特定の大きなWebサイトに対するネチズンの信頼を信頼しています。コードが実行されます。あなたはその病院を非常に信頼していますが、あなたが見た診療所はぎゅっとぎゅうぎゅで外注されており、病院の名の下にあなたを欺くためにあなたの信頼を使いました。しかし、あなたが後で請求をするために誰かに行くとき、病院はしばしば現時点で無実です。セキュリティエンジニアにとって、CSSの馬のトラブルシューティングは必須です。

CSSぶら下げ馬の攻撃と防御の記録

CSSぶら下げ馬を攻撃する方法は他にもありますが、主な方法は、脆弱なブログまたはSNSソーシャルネットワーキングWebサイトシステムを通じてCSSをサポートする悪質なCSSコードを作成することです。機能はページ内でパーソナライズされています。以下では説明のための例として典型的なCSSぶら下げ馬を取ります。

方法1：

本文{

background-image：url（ 'javascript：document.write（ ""）'）

}

CSSの "background-image"の主な機能はページの背景画像を定義することです。この悪意のあるコードは主に "background-image"とJavaScriptコードを使用して、Webページのトロイの木馬をユーザーのコンピュータで実行させます。

このCSSの悪意のあるコードを通常のWebページにハングさせるにはどうすればよいですか。ハッカーは、生成されたWebページのトロイの木馬を指定の場所に置き、その後、悪意のあるコードを、ぶら下がっている馬のWebサイトのWebページ、またはWebページによって呼び出されたCSSファイルに書き込むことができます。

zh-CN"],null,[1],zh-TW"]]]