Frage:
Wie kann ich eine potenziell schädliche Website sicher überprüfen?
Mirsad
2016-04-26 22:04:04 UTC
view on stackexchange narkive permalink

Manchmal interessiert mich, was hinter einer bösartigen Website steckt. Wie bleibe ich auf der sicheren Seite, wenn ich mich zur Inspektion entscheide? Ich suche nach Methoden, die schneller und einfacher sind als das Ausführen der Website auf einer virtuellen Maschine.

Soll ich cURL verwenden und die HTML-Quelle in einem Datei-Viewer anzeigen? Sollte ich die Quelle einfach im Browser mit view-source anzeigen: http: // bösartige Website / ? Sind diese sicher?

Siehe hier: http://security.stackexchange.com/questions/117740/how-can-i-safely-check-whether-an-email-link-leads-to-a-malicious-website
https://www.browserstack.com/ haben eine kostenlose Testversion.Sie können den Code mit einem normalen Browser-Inspektor überprüfen
Sechs antworten:
munkeyoto
2016-04-26 22:12:13 UTC
view on stackexchange narkive permalink

Warum nicht einfach die URL an Virustotal senden? Der Zugriff auf eine schädliche Website kann schwierig sein. Die Verwendung von curl, wget, links -dump kann schwierig sein, je nachdem, wie der schädliche Inhalt bereitgestellt wird. Beispiel:

  <IfModule mod_rewrite.c> RewriteEngine On RewriteCond% {HTTP_USER_AGENT} RewriteCond% {HTTP_USER_AGENT} ^. * (Winhttp | libwwl | ^ (. *) $ - [F, L] < / IfModule>  

Mit mod_rewrite kann ich Ihnen nicht böswillige Seiten füttern. Ich kann dich woanders hinschicken und tun, was ich will. Außerdem kann ich Nutzdaten ändern, z. B.: Anstatt Sie bösartig zu füttern, kann ich sie einfach in ein nicht böswilliges "Hello World" -Javascript ändern. Dies kann Sie zu der Annahme verleiten, dass meine schädliche Website harmlos ist.

Wenn ich eine schädliche Website besuchen muss, habe ich normalerweise eine virtualisierte Sandbox, in der Burpsuite zum Abfangen ausgeführt wird, einen Squid-Proxyserver und einige andere Tools ( Noscript, Ghostery usw.). Was ist der ultimative Zweck eines Besuchs außerhalb der Neugier?

Ich möchte es manuell machen, von VT sehe ich einige Details, die mich interessieren.Ich bin mir auch nicht sicher, wie VT mit verschleiertem Javascript und anderen Versteckmethoden umgeht.False Positives sind ein weiteres Problem in dieser Geschichte.
Ich + 1 für die Erwähnung der Umleitung mit mod_rewrite und einer virtualisierten Sandbox.Ich stimme jedoch der Erwähnung des OP zu, dass VirusTotal für ihre Zwecke nicht geeignet ist.Obwohl viele nützliche Informationen zurückgegeben werden, ist nicht immer garantiert, dass sie erkannt werden, und es wird auch keine detaillierte Analyse zurückgegeben.Als Test habe ich einmal meinen eigenen Code verschleiert, der einen damals bekannten Browser-Exploit ausnutzte, und VT hat ihn nie aufgegriffen.Dies wäre ein Job für eine virtualisierte Sandbox, wie Sie erwähnt haben.
Immerhin haben Sie einen guten Punkt zu Benutzeragenten gemacht, aber dafür gibt es eine Lösung. Durch Ändern von .curlrc kann die Tür für die Analyse geöffnet werden .`user-agent = "Mozilla / 4.0 (Mozilla / 4.0; MSIE 7.0;Windows NT 5.1; SV1; .NET CLR 3.0.04506.30) "` und manchmal auch das Optimieren des Referers können nützlich sein, `referer =" http://www.google.com/search?hl=de&q=web&aq=f&oq=&aqi=g1 "`
Wie @mirsad sagte, sind Ihre Tricks zum Umschreiben von URLs interessant, passen aber nicht zu meiner UA-Spoofery.
Curl-Header wie der Benutzeragent können auch über die Befehlszeile festgelegt werden.
@AlexanderO'Mara Sie vermissen den Kern meines Kommentars.Mir ist bekannt, dass Benutzeragenten in Curl, Wget usw. geändert werden können. Der Punkt soll veranschaulichen, dass Malware-Autoren das Senden SPEZIFISCHER Seitentypen basierend darauf ermöglichen können, wer / was die Site anzeigt
Ich verstehe, aber diese Funktion von Curl ist auch sehr nützlich, um nach solch bösartigem Verhalten zu suchen.Sie können schnell überprüfen, ob bösartiger Code speziell für MS IE und keinen anderen Browser getrennt wurde.
Robert Mennell
2016-04-26 22:57:45 UTC
view on stackexchange narkive permalink

Der Besuch einer schädlichen Website ist oft ein Erfolg oder Misserfolg, da Sie mit IHRER Software sprechen, die SIE steuern. Sie haben keine wirkliche Kontrolle darüber, egal was Sie tun. Es könnte für eine lange Zeit nicht böswillig erscheinen und Sie dann treffen. Es könnte versuchen, Sie zu schlagen, sobald Sie es besuchen. Es könnte ...

Da es buchstäblich unendlich viele Möglichkeiten gibt, wie eine Website bösartig sein kann, können Sie sich nie wirklich sicher sein. Alles, was Sie tun können, ist, eine Art Brennerausrüstung zu verwenden, die Baustelle zu erkunden und ihr immer noch nie zu vertrauen. Je. Für alle Websites. Die Gefahr, egal welches Protokoll Sie verwenden, besteht darin, dass Sie am Ende auf irgendeine Weise ihren Server besuchen. Sie öffnen sich für Nutzlasten auf allen Ebenen des OSI-Modells. Wenn Sie nur Optionsheader sehen möchten, ist die Verbindung noch offen. Es ist wirklich ein Haken 22.


Denken Sie daran, das Web ist ein Vertrauensniveau. Ich vertraue darauf, dass du mich beschützt. Nur für den Fall, ich werde immer noch Antivirensoftware ausführen und andere Leute zuerst besuchen lassen. Wenn sie lange genug in Sicherheit bleiben, werde ich dich wahrscheinlich besuchen.

Und dann besteht die Möglichkeit, dass diese gehackt werden. Dann ist Ihr Vertrauen gebrochen.


Schlimmer noch, es wird versucht, Code zu überprüfen. Sicher bekommen Sie eine Kopie, aber eine Kopie von was? Es ist im besten Interesse, dass eine Website so lange wie möglich nicht böswillig erscheint. Oft ist die Zeitquelle völlig harmlos, bis sie die Nutzdaten an einem Ort herunterlädt, an dem die meisten Tests nicht bestanden haben. Dann müssen Sie jeden einzelnen Link und jede einzelne Quelldatei suchen und auch diese durchlesen oder analysieren, was im Laufe der Zeit kostspielig ist.

TL; DR:

Sie können einer Site niemals vollständig vertrauen. Nicht einmal Google. Der eigentliche böswillige Teil der Website kann an einer beliebigen Stelle auf der Website gespeichert werden. Sicher, Sie können die Quelle sicher überprüfen, aber dann erhalten Sie möglicherweise nur ein falsches Sicherheitsgefühl.

Wenn Sie dies unbedingt tun MÜSSEN, verwenden Sie eine Brennermaschine oder VM, die Sie zerstören können, sobald sie infiziert wird. Die Nutzdaten können sich überall befinden (HTML-Datei, JS / CSS / Vector / App / Image / CSV / JSON / Datei ...). Wenn Sie der Site aufgrund ihrer Reputation nicht vertrauen können, können Sie der Site überhaupt nicht vertrauen.

Ich spreche nicht von einem Besuch, sondern eher von einer Inspektion einer potenziell bösartigen Website.Zum Beispiel möchte ich überprüfen (überprüfen), was sich hinter der URL befindet, die ich in meinen Serverprotokollen oder im Spam-Ordner gefunden habe.
... Dann besuchst du es.Es gibt buchstäblich keine andere Möglichkeit, diesen Code abzurufen, als mit dem Server zu sprechen, den Code abzurufen und ihn zu überprüfen.Ansonsten müssen Sie sich nicht darauf verlassen, was andere Ihnen sagen.Dafür gibt es Dienste.Besuchen Sie NIEMALS eine Website von einem Server!
Eine Website, der Sie schließlich vertrauen, kann gehackt werden.Dann bist du um eins weg.
TL / DR;Sie können nicht beweisen, dass eine Website für niemanden bösartig ist.Sehr guter Punkt!
vulnerableuser
2016-04-27 01:48:59 UTC
view on stackexchange narkive permalink

Es ist schwierig, Websites durch Analyse ihres Quellcodes zu überprüfen, da einige Websites versteckte Codes enthalten. Möglicherweise möchten Sie eine auf Reputation basierende Analyse ausprobieren.

Sie können Ihrem Browser ein Add-On hinzufügen, um die Site zu analysieren, bevor Sie darauf klicken. Ein Beispiel dafür ist wot, ein Plug-In (Web of Trust). https://www.mywot.com/

Sie können die URL auch an einen kostenlosen URL-Scanner senden. Beispiel ist http: //zulu.zscaler. com / Dies überprüft die Website selbst. Dies ist ein Tool zur Risikoanalyse.

Sie können auch http://urlquery.net/index.php

ausprobieren ist http://www.urlvoid.com/ und https://www.virustotal.com/

urlquery.net gibt Ihnen sogar einen Screenshot der Webseite.
Ich habe WOT nicht mehr verwendet, seit sie w3schools als zu 95% vertrauenswürdig und kindersicher eingestuft haben.
WOT analysiert nicht einmal etwas.Benutzer stimmen für die Vertrauenswürdigkeit und Kindersicherheit einer Site.
@JanDvorak: Und aus diesem Grund hat WOT in letzter Zeit immer mehr Fehlalarme, da Benutzer Websites nur aus ideologischen Gründen als bösartig markieren.Blogs, Websites von Politikern oder politischen Parteien, viele religiöse oder philosophische Websites, alle sind mit ideologisch motivierten roten Fahnen gefüllt.
Installiere NICHT das sogenannte "Web of Trust" (** WOT **), es kann / muss als Malware betrachtet werden !!!- https://thehackernews.com/2016/11/web-of-trust-addon.html
Peter - Reinstate Monica
2016-04-27 13:25:35 UTC
view on stackexchange narkive permalink

Andere erwähnten, dass das Abrufen einer URL dem Host wichtige Informationen liefern kann. Normalerweise lautet die Information, dass Sie eine E-Mail gelesen haben.

Ich gehe jedoch davon aus, dass eine Option zum sicheren Überprüfen einer Webseite, die nicht zu unangenehm oder kompliziert ist, darin besteht, die zu öffnen URL in einem textbasierten Browser wie lynx (unter Windows möglicherweise in einer Cygwin-Umgebung). Lynx verarbeitet kein JavaScript und zeigt Bilder oder andere Nicht-Text-Inhalte nicht sofort an. Dies macht es für die meisten Angriffe auf Mainstream-Plattformen unverwundbar (ich würde mich jedoch über Kommentare dazu freuen).

Adam Shostack
2016-04-27 03:30:07 UTC
view on stackexchange narkive permalink

Ich mag die Antwort von @Robert Mennell, aber ich möchte hinzufügen, dass es eine Möglichkeit gibt, zu sehen, was auf der Site ausgeführt wird, nämlich die Festplatte zu ziehen und sie auf einem anderen Computer zu überprüfen. Auf diese Weise ist es weniger wahrscheinlich, dass Sie von einem Rootkit betroffen sind, das das Betriebssystem dazu bringt, Sie anzulügen. Natürlich könnte die Firmware des Laufwerks Sie anlügen, aber das ist ein ziemlich spezialisiertes Rootkit.

Schlimmer noch, Sie haben auch Ihren anderen Computer mit diesem Rootkit infiziert, wenn es in der Firmware enthalten ist.Das scheint eine schlechte Idee zu sein, daher wäre die Brennermaschine der richtige Weg.
Jeff Brower
2018-02-16 21:37:08 UTC
view on stackexchange narkive permalink

Ein Vorschlag - nicht sicher, ob es tatsächlich sicher ist oder nicht - ist die Verwendung von Google Übersetzer auf der Website unter Angabe einer Zielsprache, die auf einen Blick nur minimal verstanden werden kann (Deutsch, Niederländisch usw.). Ich habe das für verdächtige Seiten getan (und auch für einige chinesische und indische Webseiten, die von Kunden gesendet wurden, über die ich mir Sorgen gemacht habe, ins Englische übersetzt). Es scheint mir, dass Google das Risiko eingeht und das generiert, was Sie sehen. Solange Sie auf nichts klicken, scheint es sicher zu sein - natürlich könnte ich mich da irren. Google sagt möglicherweise "Website hat Sie zu oft umgeleitet", aber wenn dies ein Indikator für sich selbst ist, ist die Website nicht sicher.

Dies löst nicht den Aspekt "Quellcode der Website überprüfen", sondern ihn kann zusätzliche Informationen und Hinweise geben, ob weitere Methoden zum Anzeigen des Quellcodes erforderlich sind.

"nicht sicher, ob es tatsächlich sicher ist oder nicht" - Warum schlagen Sie es dann vor?Ich bezweifle, dass es helfen würde.


Diese Fragen und Antworten wurden automatisch aus der englischen Sprache übersetzt.Der ursprüngliche Inhalt ist auf stackexchange verfügbar. Wir danken ihm für die cc by-sa 3.0-Lizenz, unter der er vertrieben wird.
Loading...