[原创]分析中国电信投票系统 简述非法重复刷票技巧

[这个贴子最后由冰血封情在 2004/07/08 06:28pm 第 1 次编辑] [B]剖析中国电信[/COLOR]"华夏杯"网页制作/FLASH制作大赛幕后黑手[/B] 注意：谨以此文章献给我的父亲和母亲，感谢他们对我多年来的养育之恩。 原创声明： 中国暗域网络技术资讯站原创文章，本人同时是中国黑色海岸线联盟的成员，作者 冰血封情，转载劳烦著名出处。前段时间很多初学者朋友一直在催我把这文章写出来，想知道我是如何刷票的，其实，很容易的，来吧。 拙笔正文： 前段时间一个朋友告诉我一个有关中国电信 华夏杯 网页制作/FLASH制作大赛的信息，比赛会在网络设置公众投票，作为参考意见，让我也去凑热闹，我冰血封情可是个比较三八的男人，这种事情最喜欢上去八卦了。一听就比较感兴趣，这投票系统可是历来安全问题最为敏感的，如此不妨一试。 顺着朋友所给的信息，我来到了投票页面的地址： http://www.**.**.cn/bisai/blak4.htm 页面还真是有点大赛的气势，看完了所有的FLASH，觉得7号不错，于是就投了一票（图1）。 呵，别忘了正经的事情，网络安全就是要维护网络的公正和合法性，还是先给这个网页制作/FLASH制作大赛的投票系统做个小小的安全评估吧。 首先，冰血封情自然会尝试重复投票了，可惜大赛的组委会毕竟不是笨蛋，看看这弹出来的窗口吧（图2），的确让人为难了。 等等！系统提示的是“对不起，您已经投过票了，欢迎您下次再来！” 那么它是如何判断我就投了票了呢？通过IP还是通过Cookies？没关系，分析一下就知道了，还记得前段时间Sina的手机大赛就是通过Cookies验证重复投票的，根本不严格，导致非法用户恶意刷票，情况十分混乱。我先拿出了IECookiesView这个工具，对这个站点给我留下的所有的Cookies都做了分析，没有任何迹象表明它是使用Cookies记录对方是否重复投票。 现在基本可以定下系统是通过记录IP来判断我们是否重复投票了。为了验证一下我的推测，我关闭了ADSL路由器，重新连接上线，再次对[B]7[/B]号投票，成功！好了现在我们知道了系统是通过IP记录是否有用户重复刷票。 现在我们看看能否突破脚本的验证重复投票。分析一下，为了实现我们的预计构想，首先第一步是找出特定用户的投票地址。“特定用户的投票地址”这个让我怎么解释呢？其实就是你在选择了某个用户并点击“投票”后，系统会把你的访问指向一个特定的能够标识该用户的URL上，然后通过访问那个URL，就实现了投票，这样一来可以方便系统确认是应该给谁加票。当然，在你点下“投票”后，到系统引导你访问URL之前的这段时间里，它会验证你的IP地址是否曾经出现过。如果更换ip地址重复投票自然是很麻烦的，是否可以不用更换IP地址，绕过严正重复投票呢？经过思考，提供IP验证的系统是asp脚本，如果我们再下一层，直接使用网络数据包进行通信就不需要经过他的检查了。只是猜测而已，我们来尝试一下看看吧。 好了具体分析就是这样了，先抓绝对地址吧。拿出冰血最喜欢用来做脚本Sniff的工具，eEye Digital Security安全小组的Iris Network Traffic Analyzer。 第一步：ping出大赛投票系统所在服务器目前的IP地址，后面有用的（图3）， 然后启动Iris，点Filters选项，启动Edit filter settings，这里你可以选择很多种监测方法，我选择的是捕获一切本机同远程服务器80端口的通信数据（条件是必须对方http提供在80）。 刚才我们是拿[B]7[/B]号试验，现在我们换[B]2[/B]号看看。关闭所有其他的IE窗口，重新启动路由器，连接网络。选然后我们选2号作品，投票！抓到了很多的数据。经过分析，发觉最为敏感的一段如下：

1. POST /bisai/vote/ivote.asp?voteID=205 HTTP/1.1
2. Accept: */*
3. Referer: http://www.**.**.cn/bisai/blak4.htm
4. Accept-Language: zh-cn
5. Content-Type: application/x-www-form-urlencoded
6. Accept-Encoding: gzip, deflate
7. User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; MyIE2)
8. Host: www.**.**.cn
9. Content-Length: 29
10. Connection: Keep-Alive
11. Cache-Control: no-cache
12. Cookie: IPAddress=220%2E173%2E134%2E235; ASPSESSIONIDQSBABBBQ=PAFCFBGDNJJIIILPICEAEEPI
13. vote=n2&submit=+%CD%B6%C6%B1+HTTP/1.1 100 Continue
14. Server: Microsoft-IIS/5.0
15. Date: Fri, 11 Jun 2004 06:09:17 GMT

复制代码

看见行文中的/bisai/vote/ivote.asp?voteID=205了么？再次重新启动路由，直接在IE输入http://www.**.**.cn/bisai/vote/ivote.asp?voteID=205执行投票，果然2号作品加了一票，这就是我说的标识投票的绝对地址了。哈哈…… 把以上文件放到硬盘 拷贝到一个叫1.txt的文件下，拿出黑软军刀NC。 用nc.exe -vv ip 80<1.txt 直接提交就可以了，ip就是之前我让大家ping出来的地址，现在我们来看看对比效果如何（图4）。 对比一下刚开始很容易看见票数发生了非常大的势力扭转。 这样一来只要重复提交尽管数据中的IPAddress=220%2E173%2E134%2E235不变也可以的。 写个小程序刷死它吧。 好了，到了这一步，再往下冰血封情也不想说什么了，系统既然是这样的无法公证，那么比赛的投票也就一点参考意义都没有了，这篇很多网友都一直吵着叫我写的文章也算是稀里糊涂写出来了，不到之处见谅。希望主办者以此为鉴，注意脚本安全。本次对中国电信 华夏杯 网页制作/FLASH制作大赛网络安全评估就完成了，再会。 灌水广告： ——文章原创由 中国暗域网络 及 邪恶八进制 冰血封情 ——Be powered by Hackway Power of Cn & EvilOctal Security Group Evilin ——欢迎访问 www.HackWay.net & www.EvilOctal.com

呵呵
很不错 我感觉的
    用的
不过  我觉得用的手法不是很高明  但是分析的思路很明确
很好  用简单的方法 办了见不简单的事

IP没屏蔽好……还好比赛都完成了