最近有安全研究人員發(fā)現(xiàn)了一種很奇葩的攻擊方式，利用谷歌的 Chrome 瀏覽器能竊取任何版本的 Windows 系統(tǒng)登錄密碼（包括最新的 Windows 10）。這種攻擊手法就借鑒了曾被評為“史上最危險(xiǎn)的漏洞之一”的“快捷方式漏洞”。該漏洞是史上影響范圍最廣的微軟漏洞之一，號稱“看一眼就中招”。2010年轟動全球的“震網(wǎng)病毒事件”（美國當(dāng)年利用病毒破壞伊朗核計(jì)劃），正是依靠這種攻擊手法。

 為什么看一眼就能中招

2010 年8月，微軟緊急修復(fù)了一個高危漏洞，人們和現(xiàn)在一樣喜歡抱怨補(bǔ)丁太多，也并不了解這個漏洞的威力，以及美國正是軍方利用這個漏洞，破壞了伊朗核彈計(jì)劃。

雷鋒網(wǎng)了解到，當(dāng)年伊朗建設(shè)核設(shè)施時，采用的監(jiān)控和數(shù)據(jù)采集系統(tǒng)都是自成體系運(yùn)行，完全不連接任何外部網(wǎng)絡(luò)，所有操作都嚴(yán)格“物理隔離”，幾乎沒有從外網(wǎng)攻進(jìn)去的可能性。然而， Windows 系統(tǒng)里的一個快捷方式漏洞幫助美國打開了局面。

快捷方式漏洞的原理是這樣的：我們的桌面上通常有一些快捷方式文件，它們的格式是 LNK。

▲使用Windows系統(tǒng)幾乎離不開各種快捷方式

之所以它們能顯示出各式各樣的圖標(biāo)，是因?yàn)槲募昧瞬煌膱D標(biāo)文件，圖標(biāo)文件決定它們顯示的樣子。比如，我可以把谷歌瀏覽器快捷方式的圖標(biāo)改成一個關(guān)機(jī)鍵。

▲快捷方式圖標(biāo)可自定義

簡而言之，Windows 系統(tǒng)顯示快捷方式時，會根據(jù)文件中圖標(biāo)路徑，自動去尋找并引用圖標(biāo)文件，然后圖標(biāo)展示給用戶。而攻擊者利用的正是這一個細(xì)節(jié)。

攻擊者可以構(gòu)建一個惡意快捷方式，將它的圖標(biāo)引用目錄指向了一個惡意代碼文件。受害者看到這個快捷方式的瞬間，它就把惡意代碼文件當(dāng)作圖標(biāo)拉取了過來。更可怕的是，它不僅可以引用本地文件，還可以拉取遠(yuǎn)程服務(wù)器上的文件。

這種攻擊方式最厲害之處在于，快捷方式文件的顯示圖標(biāo)是系統(tǒng)自動執(zhí)行的，就算受害者不點(diǎn)開這個快捷方式文件，只要看一眼，就已經(jīng)中招！換句話說：

• 攻擊者把一個惡意文件發(fā)送給你，不管你打不打開，只要接受就立刻中招！

• 攻擊者把一個惡意文件掛在網(wǎng)上，不管你打不打開，只要下載到你電腦上就中招！

• 攻擊者把文件放在U盤里，不管你打不打開，插上就中招！

這就是快捷方式漏洞，人送綽號“看一眼就中招”的由來。

回到美軍破壞伊朗核設(shè)施事件上。當(dāng)時伊朗的核設(shè)施采用了嚴(yán)格的物理隔離，工作人員也絕不會輕易打開任何可疑文件。

于是美國想了一個迂回招數(shù)，先感染一些比較好得手的外部機(jī)器（比如工作人員家里的電腦，或者辦公區(qū)域的電腦），將病毒感染到工作人員的 U盤里，然后靜靜等待工作人員有一天把U盤插到核心核設(shè)施離心機(jī)的控制設(shè)備上。

工作人員把U盤插到核設(shè)施監(jiān)控系統(tǒng)的主機(jī)上時， 并沒有運(yùn)行U盤里的任何可疑文件，但病毒已神不知鬼不覺地潛入內(nèi)部主機(jī)，成功利用U盤完成突破物理隔絕的“擺渡”。之后繼續(xù)搭配另外幾個漏洞，迅速蔓延到核設(shè)施的整個內(nèi)網(wǎng)。

于是就出現(xiàn)了下面這一幕：時任伊朗總統(tǒng)內(nèi)賈德參觀核設(shè)施，清晰地顯示出了當(dāng)時在“震網(wǎng)病毒”的作用下，兩個離心機(jī)發(fā)生未知故障，所有人當(dāng)時都被蒙在鼓里，沒有人知道病毒究竟是怎么進(jìn)來的，甚至他們根本不知道這是電腦病毒搞的鬼。

▲紅圈標(biāo)注的是發(fā)生故障的兩個離心機(jī)

快捷方式漏洞被公開披露后，整個互聯(lián)網(wǎng)陷入了瘋狂，那情形大概和最近發(fā)生的全球勒索事件差不多。這是當(dāng)時的新聞是這樣的：

▲ 圖片引用自百度新聞搜索結(jié)果

微軟很快對 LNK 格式的快捷方式文件進(jìn)行了限制，不允許引用外部服務(wù)器的文件，只允許引用本機(jī)資源，并且對引用圖標(biāo)文件的格式做了嚴(yán)格的限制，斷絕了利用LNK快捷方式的圖標(biāo)文件來傳播惡意代碼的可能性。該漏洞便從此銷聲匿跡，成為黑客江湖的一個傳說。

漏洞改頭換面“重出江湖”

然而，微軟還是百密一疏。他們對LNK格式的快捷方式文件進(jìn)行了限制，卻忘記了 Windows 下還有另一種快捷方式文件格式：SCF。

什么是 SCF 文件？官方的解釋是這樣：

SCF（文件是“WINDOWS資源管理器命令”文件，它也是一種可執(zhí)行文件，該類型文件由 Windows Explorer Command 解釋，標(biāo)準(zhǔn)安裝。

看不懂沒關(guān)系，我們只要知道，它的工作原理類似于普通的 LNK 格式快捷方式，一般都在桌面放置一個圖標(biāo)，幫我們快速打開一個資源。常見的“我的電腦”、“回收站”就是 SCF 格式的快捷方式。

Windows 修復(fù) LNK 快捷方式漏洞時，忘記了處理 SCF 文件，也就成了攻擊者利用 Chrome 竊取 Windows 密碼的關(guān)鍵。

整個攻擊流程是這樣的：

攻擊者先創(chuàng)建一個惡意的SCF文件，放在自己的網(wǎng)站。

 

誘騙受害者進(jìn)入該網(wǎng)站，然后神奇的一幕就出現(xiàn)了， Chrome 瀏覽器會自動下載這個SCF文件到受害者的電腦中，不需要用戶確認(rèn)下載。（可能是默認(rèn) Windows SCF 文件是安全的，這算是Chrome 瀏覽器的一個安全漏洞）。

 

當(dāng)用戶進(jìn)入包含惡意快捷方式文件的文件夾，即使不點(diǎn)擊，該文件也會自動檢索圖標(biāo)，而圖片路徑早已被攻擊者設(shè)置到了一臺遠(yuǎn)程服務(wù)器上，因此受害者電腦會自動遠(yuǎn)程鏈接的攻擊者的服務(wù)器。

 

根據(jù) Windows 系統(tǒng)訪問遠(yuǎn)程服務(wù)器的 LM/NTLM 身份認(rèn)證機(jī)制，受害者的電腦連接攻擊者的遠(yuǎn)程服務(wù)器時，會自動把電腦的系統(tǒng)用戶名和密碼哈希值傳輸過去，用來驗(yàn)證自己的身份。于是攻擊者便得手了。

據(jù)雷鋒網(wǎng)了解，雖然這些密碼被加密了，但依然可以通過暴力破解，獲取原始登錄密碼。而且微軟有許多在線服務(wù)只需要驗(yàn)證哈希散列加密密碼，攻擊者甚至可以使用加密的密碼直接登錄到受害者的 OneDrive 、 Outlook、Office365、網(wǎng)上辦公、Skype、Xbox Live 等微軟的其他服務(wù)，而不需要解密后的密碼。 

甚至，攻擊者也可以冒充受害者對企業(yè)內(nèi)部的其他成員產(chǎn)生威脅，獲取訪問企業(yè)IT資源權(quán)限等等。

值得一提的是，由于這種攻擊手法需要將 SCF 文件文件下載到電腦，一般攻擊者會把文件名設(shè)置“圖片.jpg.scf”或者“文本.txt.scf，那樣它 Winodws 資源管理器里會顯示成 “圖片.jpg”或者“文本.txt”  ，這樣看起來像是一張jpg格式的圖片或是txt文本文件，很難被察覺。

▲scf 文件后綴將被隱藏，不易被發(fā)現(xiàn)

如何防止這種攻擊？

目前谷歌似乎也意識到了這個漏洞，正在制作相應(yīng)的補(bǔ)丁，不過在新的補(bǔ)丁更新之前，所有使用Chome瀏覽器或者Chromium 內(nèi)核瀏覽器（比如QQ瀏覽器、百度瀏覽器、360極速瀏覽器等等）的用戶都不排除類似風(fēng)險(xiǎn)。

專家給出的建議是，關(guān)掉訪問外網(wǎng)的SMB連接端口（TCP端口號139和445）,使得本地計(jì)算機(jī)不能再查詢遠(yuǎn)程SMB服務(wù)器。或者禁用谷歌Chrome瀏覽器的自動下載設(shè)置，在設(shè)置——顯示高級設(shè)置——勾選。  這樣每次瀏覽器下載文件都會詢問，從而避免瀏覽器自動下載惡意SCF文件。