Redireccionamiento de página a contenido "malicioso"

Question

Redireccionamiento de página a contenido "malicioso"

#1 de SuperAdmin (1 votos)
#2 de OscarAkaElvis (0 votos)
#3 de hax (0 votos)

0

Recientemente estuve visitando un sitio web alojado en China (lo sé por IP, está asignado a una universidad de allí).

Cuando accedí a su página de hoy, se cargó, pero después de que se cargó el contenido inicial, fui redirigido a una página extraña de Pokémon / Mario Bros. De todos modos, me sorprendió. He utilizado Wireshark y pude ver que en la solicitud GET y el servidor estaba enviando un HTTP 302 "Movido temporalmente". Entonces me conecté a través de un proxy de Internet para ver si está vinculado de alguna manera a mi IP. Y sorpresa, pude conectarme sin ninguna redirección. Ahora me pregunto, ¿descubrieron que me estaba conectando desde fuera de China (Europa Central) e hizo una redirección basada en mi IP en Apache? ¿O es el sitio infectado por algún malware? Si es más tarde, ¿cómo podría verificar la URL en un sandbox para código malicioso? ¿Un proxy, evitaría una redirección?

url-redirection proxy

pregunta adam86 24.03.2017 - 21:07

fuente

3 respuestas

Lea otras preguntas en las etiquetas url-redirection proxy

¿Es difícil resolver la fijación de sesión? ¿Podría ser peligroso revelar su nombre completo en Internet? [duplicar]

score 1 · Answer 1

Mi impresión es que hay una configuración 302 en el mismo nivel de dominio (posiblemente debido a una intención maliciosa), o como mencionó un Apache (o nginx o lo que sea) redirigir de alguna manera la configuración en el propio servidor web. Si esto fue pensado o resultado de un malware, no tengo forma de saberlo con la información proporcionada. Sin embargo, para un ataque XSS, generalmente se requiere el uso de un enlace externo con javascript escrito en el enlace mismo. Si navega directamente al sitio web, lo más probable es que XSS no sea el problema. En lo que respecta a la detección de malware, puede utilizar un escáner remoto, pero eso no proporcionará resultados tan precisos como el análisis del sistema de archivos en sí mismo, y me imagino que no tiene acceso.

score 0 · Answer 2

Intente conectarse utilizando diferentes servidores proxy para evaluar el comportamiento de cada país. De esa manera, verá el contenido verdadero de la página si sospecha que está relacionado con el origen de la IP.

De todos modos, es una suposición descabellada sin conocer la página, la ip, etc ... pero podría ser una especie de xss o piratería a la página. Creo que alguien está redirigiendo a todas las personas a una página de "gancho", o simplemente está ganando dinero por cada visita debido a los anuncios. Si no lo redireccionamos, siempre ... podría tener algún tipo de IDK de "selección de usuario" ... tal vez por IP como sospechoso o lo que sea.

score 0 · Answer 3

Sugeriría lo siguiente para investigar más a fondo. Como usted duda de que es un sitio web potencialmente comprometido, use una máquina virtual para realizar estos.

Pruebe con proxies de un par de ubicaciones diferentes y vea si la respuesta de redirección se basa en la ubicación,
Use un proxy web como eructar, intercepte cada solicitud y vea en qué etapa está ocurriendo la redirección. es decir; ¿Está sucediendo cuando envías un formulario? En caso afirmativo, ¿por qué están pasando los parámetros?
¿La respuesta inmediata del dominio de destino es un redireccionamiento 302 a ese sitio de pokemon? Si es así, el sitio puede estar comprometido.
¿Está ocurriendo la redirección después de un retraso? Luego, examine la fuente html de la respuesta inmediata y vea qué tipo de contenido activo se sirve [js, flash ...] y qué están haciendo.

Hay infinitas posibilidades. Pero estos son los que me vienen a la mente en este momento y creo que vale la pena analizarlos.