【51CTO 1月26日外电头条】在由一个专家小组公开投票选出的2010年网络黑客技术名单中，在线网上银行交易威胁成为黑客技术中的年度头号杀手。该技术被称之为Padding Oracle加密技术，黑客则是利用了微软的网络架构ASP.NET保护AES加密cookie的原理。
如果在cookie中的加密数据已经被改变，那么ASP.NET处理它的方式就会导致应用程序留下一些关于解密信息的蛛丝马迹。这样一来，黑客们就可以推断出从加密密钥中被淘汰出来的可能的字节，从而减少了未知字节，让解密范围缩小到足够可以被猜测出来。
黑客的开发商——Juliano Rizzo和Thai Duong已经开发了一种执行该袭击的黑客工具。
Padding Oracle在投票过程中被评为第一。参与该投票的评审团成员包括InGuardians的创始人Ed Skoudis，NoScript的作者Girogio Maone ，Armorize的总裁Celeb Sima，Veracode的首席技术官Chris Wysopal，OWASP的董事长兼总裁Jeff Williams，独立安全评估公司的安全顾问Charlie Miller，Mitre的Steven Christey和White Hat Security副总裁Arian Evans。
该排名由Black Hat、OWASP和White Hat Security联合发起，有关黑客的细节将在下个月于德国举行的2011年IT安全主题展示大会上逐一透露。
以下列出位于前十位的其它Web黑客技术：
1. Padding Oracle：如果输入的密文不合法，类库则会抛出异常，这便是一种提示。攻击者可以不断地提供密文，让解密程序给出提示，不断修正，最终得到的所需要的结果。
2. Evercookie：它能够让Jave脚本创建的cookie隐藏在浏览器的八个不同的位置，因此很难彻底消除它们。Evercookie可以让黑客识别出用户的电脑，即便之前的cookie已经被删除。（由Samy Kamkar设计）。
3. Hacking Autocomplete：指定浏览器自动在被打开的网站上填写表格，恶意网站上的脚本就可以通过点击查询储存在受害者电脑里的不同数据迫使浏览器填写他的个人数据。（由Jeremiah Grossman设计）。
4. 用缓存注射来攻击HTTP：将恶意的Jave脚本库注射进浏览器的缓存可以让攻击者破坏受SSL保护的网址，直到缓存被清除为止。在前一百万个最常用的网站中有将近一半使用外部Java脚本库。（由Elie Bursztein、Baptiste Gourdin和Dan Boneh设计）。
5. 使用ClickJacking和HTTP Parameter Pollution绕过CSRF的保护：通过网站请求伪造的防护措施，诱导受害者泄露他们的电子邮件ID。攻击者可以重置受害者的密码并获取访问他们账户的权限。（由Lavakumar Kuppan设计）。
6. IE8中的通用XSS：Explorer 8拥有跨点脚本保护，这种攻击方式会让网页以一种潜在的恶意方式不正当地弹出。
7. HTTP POST DoS：HTTP POST将会被发送到服务器上，让攻击者知道有多少数据正在被传输，然后数据传送速度会变得非常缓慢，并且会占用大量服务器资源。当很多这样的数据进行同时传输的时候，服务器就会超载。（由Wong Onn和Tom Brennan设计）。
8. JavaSnoop：一个连接到目标机器的Java代理与JavaSnoop工具连接来测试该机器上的应用程序以便寻找其安全弱点。它可以是一个安全工具也可以成为黑客工具，取决于用户的心态。（由Arshan Dabirsiagh设计）。
9. 火狐的CSS历史黑客，不为内部网端口扫描使用JavaScript：层叠样式往往是为了定义HTML的演示，在受害者浏览网站的时候它可以被用来抓取浏览器的历史记录。而历史信息可以用来对受害者进行钓鱼攻击。（由Robert "Rsnake" Hansen设计）。
10. Java小程序DNS重新绑定：一堆Java小程序可以引导浏览器至攻击者控制的页面，强迫浏览器绕过它的DNS缓存，这样就可以让DNS重新绑定攻击变得轻而易举了。（由Stefano Di Paola设计）。
作者：Tim Greene
出处：http://www.networkworld.com/news/2011/012411-top-web-hacking-techniques.html?page=1
【51CTO.com独家译稿，非经授权谢绝转载！合作媒体转载请注明原文出处及出处！】
【编辑推荐】
