2024年5月9日发(作者：)

第３９卷　第１期　

计算机工程　

２０１３年１月　

Ｖ０ｌ－３９　

ＮＯ．１　

Ｃｏｍｐｕｔｅｒ　Ｅｎｇｉｎｅｅｒｉｎｇ　

Ｊａｎｕａｒｙ　２０１３　

・开发研究与设计技术・　文章缩号ｔ　１００　一３４２８（２０１３）０１－＿０３１３—＿０５　文献标识码。Ａ　中圈分类号ｌ　ＴＰ３９１　

ＩＥ８．０登录信息保护机制的缺陷分析与利用　

张航，吴灏，许蓉　

（国家数字交换系统工程技术研究中心，郑州４５０００２）　

摘要：为有效获取Ｗｉｎｄｏｗｓ　７操作系统自带ＩＥ　８．０浏览器的登录信息，从存储策略和加密机制２个方面，对ＩＥ登录信息　

的保护机制进行分析，研究保护机制的不足，根据用户对ＩＥ的安全设置，提出拦截历史记录的还原方法。在拦截用户访问　

网站地址的基础上，筛选出登录信息对应的网站地址，获取解密密钥，得到用户自动保存的登录信息。实验结果表明，该　

方法能够在用户进行安全设置后，有效获取用户自动保存的登录信息。　

关健词：Ｗｉｎｄｏｗｓ　７操作系统；浏览器；登录信息；保护机制；存储策略　

Ａｎａｌｙｓｉｓ　ａｎｄ　Ｕｔｉｌｉｚａｔｉｏｎ　ｏｆ　Ｆｌａｗ　

ｆ０ｒ　ＩＥ８．０　Ｌｏｇｉｎ　Ｉｎｆ０ｒｍａｔｉｏｎ　Ｐｒｏｔｅｃｔｉｏｎ　Ｍｅｃｈａｎｉｓｍ　

ＺＨＡＮＧ　Ｈａｎｇ，ＷＵ　Ｈａｏ，ＸＵ　Ｒｏｎｇ　

（Ｎａｔｉｏｎａｌ　Ｄｉｇｉｔａｌ　Ｓｗｉｃｈ　Ｓｙｓｔｅｍ　Ｅｎｇｉｎｅｅｒｉｎｇ＆Ｔｅｃｈｎｏｌｏｇｉｃａｌ　Ｒ＆Ｄ　Ｃｅｎｔｅｒ，Ｚｈｅｎｇｚｈｏｕ　４５０００２．Ｃｈｉｎａ）　

［Ａｂｓｔｒａｃｔ］Ｉｎ　ｏｒｄｅｒ　ｔｏ　ｇｅｔ　ｔｈｅ　ｂｒｏｗｓｅｒ　ＩＥ８．０　ｌｏｇｉｎ　ｉｎｆｏｒｍａｔｉｏｎ　ｏｆ　Ｗｉｎｄｏｗｓ　７　ｏｐｅｒａｔｉｎｇ　ｓｙｓｔｅｍ，ｂｙ　ａｎａｌｙｚｉｎｇ　ｔｗｏ　ａｓｐｅｃｔｓ　ｏｆ　ｔｈｅ　

ｌｏｇｉｎ　ｉｎｆｏｒｍａｔｉｏｎ　ｓｔｏｒａｇｅ　ｐｏｌｉｃｙ　ａｎｄ　ｅｎｃｒｙｐｔｉｏｎ　ｍｅｃｈａｎｉｓｍ，ｉｎ　ｔｈｅ　ｓｔｕｄｙ　ｏｆ　ｔｈｅ　ｓｈｏｒｔｃｏｍｉｎｇｓ　ｏｆ　ｔｈｅ　ｐｒｏｔｅｃｔｉｖｅ　ｍｅｃｈａｎｉｓｍ．Ｆｏｒ　

ｕｓｅｒ’Ｓ　ｓｅｃｕｒｉｔｙ　ｓｅｔｔｉｎｇｓ　ｆｏｒ　ＩＥ，ｔｈｉｓ　ｐａｐｅｒ　ｐｒｏｐｏｓｅｓ　ａ　ｒｅｄｕｃｔｉｏｎ　ｍｅｔｈｏｄ　ｔｏ　ｉｎｔｅｒｃｅｐｔ　ｔｈｅ　ｈｉｓｔｏｒｉｃａｌ　ｒｅｃｏｒｄｓ．Ｏｎ　ｔｈｅ　ｂａｓｉｓ　ｏｆ　ｔｈｅ　

ｉｎｔｅｒｃｅｐｔｉｏｎ　ｕｓｅｒ　ａｃｃｅｓｓ　ｔｈｅ　Ｗｅｂ　ｓｉｔｅ　ａｄｄｒｅｓｓ，ｉｔ　ｆｉｌｔｅｒｓ　ｏｕｔ　ｔｈｅ　Ｗｅｂ　ｓｉｔｅ　ａｄｄｒｅｓｓ　ｔｏ　ｏｂｔａｉｎ　ｔｈｅ　ｄｅｃｒｙｐｔｉｏｎ　ｋｅｙ，ａｎｄ　ｇｅｔｓ　ｔｈｅ　ｌｏｇｉｎ　

ｉｎｆｏｒｍａｔｉｏｎ　ｗｈｉｃｈ　ｉｓ　ａｕｔｏｍａｔｉｃａｌｌｙ　ｓａｖｅｄ　ｂｙ　ｕｓｅｒｓ．Ｅｘｐｅｒｉｍｅｎｔａｌ　ｒｅｓｕｌｔｓ　ｓｈｏｗ　ｔｈａｔ　ｔｈｉｓ　ｍｅｔｈｏｄ　ｃａｎ　ｅｆｆｅｃｔｉｖｅｌｙ　ｏｂｔａｉｎ　ｔｈｅ　ｕｓｅｒ’Ｓ　

ｌｏｇｉｎ　ｉｎｆｏｒｍａｔｉｏｎ　ｗｈｉｃｈ　ｉｓ　ｅｓｔａｂｌｉｓｈｅｄ　ｂｙ　ｕｓｅｒ’Ｓ　ｓｅｃｕｒｉｙｔ　ｓｅｔｔｉｎｇｓ．　

［Ｋｅｙ　ｗｏｒｄｓ］Ｗｉｎｄｏｗｓ　７　ｏｐｅｒａｔｉｎｇ　ｓｙｓｔｅｍ；ｂｒｏｗｓｅｒ；ｌｏｇｉｎ　ｉｎｆｏｒｍａｔｉｏｎ；ｐｒｏｔｅｃｔｉｏｎ　ｍｅｃｈａｎｉｓｍ；ｓｔｏｒａｇｅ　ｓｔｒａｔｅｇｙ　

ＤＯＩ：１０．３９６９／ｊ．ｉｓｓｎ．１０００－３４２８．２０１３．０１．０６９　

１概述　

便用户使用，网站在获得用户同意保存登录信息的前　

信息技术与网络的飞速发展，使得犯罪分子利用　

提下，对登录信息进行加密处理并保存在用户机器　

计算机系统作为犯罪工具或目标的事件屡见不鲜。因　

中，实现随后自动登录网站的功能。　

此，电子取证成为日渐重要的证据组成。然而，信息　

在ＩＥ７．０之前，自动保存密码的功能是由系统的　

技术的发展，同样使得计算机的系统安全有了很大　

Ｐｒｏｔｅｃｔｅｄ　Ｓｔｏｒａｇｅ服务完成的。用户的登录信息经数　

提升。　

据保护应用程序编程接口（Ｄａｔａ　Ｐｒｏｔｅｃｔｉｏｎ　Ａｐｐｌｉｃａｔｉｏｎ　

现在广泛使用的Ｗｉｎｄｏｗｓ　７操作系统在延续　

Ｐｒｏｇｒａｍｍｉｎｇ　Ｉｎｔｅｒｆａｃｅ，ＤＰＡＰＩ）］Ｊ￣密后保存在注册表　

Ｗｉｎｄｏｗｓ　Ｖｉｓｔａ安全特性的基础上，最大程度保证了　

的受保护存储区中［３－４Ｊ。　

兼容性。Ｗｉｎｄｏｗｓ　７操作系统通过采用大量的安全机　

尽管Ｐｒｏｔｅｃｔｅｄ　Ｓｔｏｒａｇｅ是安全账号管理服务，微　

制提升系统安全，有力地保护了用户信息的安全。这　

软却提供了ＰＳｔｏｒｅ接口用于对受保护的存储区进行　

使得计算机犯罪取证［Ｉ－２１愈发困难。　

访问。攻击者通过ＰＳｔｏｒｅＣｒｅａｔｅＩｎｓｔａｎｃｅ（）函数接收接　

在用户使用浏览器上网时，许多网站采用用户名／　

口指针，对注册表中受保护的存储区进行访问，并利　

密码对作为登录信息对用户身份进行标识。为了方　

用ＤＰＡＰＩ的解密函数对登录信息进行还原操作。　

作者简介：张航（ｉ９８６一），女，硕士，主研方向　

网络安全；吴灏，教授；许蓉，硕士　

收稿日期：２０＇Ｉ　Ｉ－１０－１８　修回日期：２０１　１－１２－０１　

Ｅ－ｍａｉｌ：ｍｉｎｉｍｏｕｓｅ１００＠１２６．ｃｏｍ　

３１４　计算机工程　２０１３年１月１５日　

目前，已有诸如Ｐｒｏｔｅｃｔｅｄ　Ｓｔｏｒａｇｅ　ＰａｓｓＶｉｅｗ等多　

后，最终生成网站标识。　

种工具实现了对受保护的存储区信息的还原。　

ＩＥ　８．０作为Ｗｉｎｄｏｗｓ　７自带的浏览器，采用了更　

２．２．２加密登录信息的生成　

存储在注册表中的二进制数据的生成过程如下：　

在用户同意自动保存登录信息后，ＩＥ使用该网站的明　

文ＵＲＬ作为加密密钥，使用ＤＰＡＰＩ的加密函数　

加完备的保护机制保护自动存储的用户登录信息，它　

不再将用户的登录信息保存在受保护的存储区中，而　

是根据登录信息的类型采用不同的加密存储策略　Ｊ。　

ＩＥ浏览器保存的第１类登录信息为自动存储的信息；　

第２类登录信息为基于ＨＴＴＰ认证的信息。　

由于登录信息存放在本机中，取证人员可采取各　

种方式对加密处理的信息进行还原。本文基于　

Ｗｉｎｄｏｗｓ　７操作系统，对ＩＥ浏览器中存储的第１类登　

录信息的保护机制进行分析，通过研究其采用的加密　

ＣｒｙｐｔＰｒｏｔｅｃｔＤａｔａ（）对登录信息进行加密操作，生成的　

数据即为存储在注册表Ｓｔｏｒａｇｅ２中的二进制数据。　

Ｗｉｎｄｏｗｓ　７默认安装ＩＥ　８．０，在用户同意自动保　

存登录信息后，ＩＥ对登录信息进行加密处理，并将结　

果保存在注册表的如下位置：　

ＨＫＥＹＣＵＲＲＥＮＴ

ＵＳＥＲ＼ＵＳＥＲ＼ＳＯｆｔｗａｒｅ＼Ｍｉｃｒ０ｓＯｆｌ＼ＩｎｔｅｒｎｅｔＥｘｐ１　

——

０ｒｅｒ＼ＩｎｔｅＩｌｉＦｏｒｍｓ＼Ｓｔｏｒａｇｅ２　

机制以及存储策略，从而发现在信息保护机制中存在　

的安全隐患，在总结现有对抗还原方法的前提下，提　

出一种绕过该安全机制的方法。　

Ｓｔｏｒａｇｅ２中存储２项内容：二进制数值名称即网　

站标识；二进制数据即经加密处理的用户登录信　

息Ｉ１　ｊ。ＩＥ自动保存登录信息的流程如图１所示。　

２　ＩＥ采用的加密存储机制及安全性分析　

２．１保护登录信息的加密算法　

为了保证敏感信息的安全，Ｗｉｎｄｏｗｓ　７会对其进　

行加密处理。针对ＩＥ８．０存储的自动登录信息，通常　

采用安全哈希算法（Ｓｅｃｕｒｅ　Ｈａｓｈ　Ａｌｇｏｒｉｔｈｍ，ＳＨＡ－１）　Ｊ　

和ＤＰＡＰＩ［７－８］２种加密方式进行加密保护。　

安全哈希算法用于从２６４位的信息中产生１６０位　

的信息摘要，从而验证经传输后的数据完整性。安全　

哈希算法有以下特性：无法从生成的消息摘要中还原　

初始信息；不同的初始信息不能产生相同的消息　

摘要。　

ＤＰＡＰＩ接口提供加密函数ｃｒｙｐｔＰｒｏｔｅｃｔＤａｔａ（）、解　

密函数ｃｒｙｐｔｕｎｐｒｏｔｅｃｔＤａｔａ（）２个函数。通过这２个函　

数，对应用程序提供系统级的数据保护服务。这２个　

函数位于Ｃｒｙｐｔ３２．ｄｌｌ中。提供基于密钥的数据加　

解密。　

在默认情况下，密钥即为登录操作系统的用户口　

令，由于该ＩＺｌ令仅有管理员知道，因此攻击者无法得　

图１　ＩＥ自动保存登录信息的漉程　

到而进行解密操作，从而保证了敏感信息的安全。　

２．２　ＩＥ敏癔信息加密存储机制　

２．２．１　网站标识的生成原理　

网站标识是经散列变化的网站统一资源定位符　

（Ｕｎｉｆｏｒｍ／Ｕｎｉｖｅｒｓａｌ　Ｒｅｓｏｕｒｃｅ　Ｌｏｃａｔｏｒ，ＵＲＬ）信息，用于　

２．３安全性分析　

根据２．１节、２．２节分析的加密存储机制可知，　

在注册表中，其所保存的登录信息的安全主要依赖于　

ＳＨＡ．１散列函数的单向不可逆特性，即攻击者无法根　

据存储的网站标识逆向推出对应的网站明文ＵＲＬ，从　

而无法得到登录信息的加密密钥，最终无法对存储的　

登录信息进行还原。　

标识存储登录信息的网站地址。存储在注册表中的网　

站标识长度为１６８　ｂｉｔ（２１　Ｂｙｔｅ）。在用户同意自动登录　

网站时，　ＩＥ首先对该网站的ＵＲＬ采用ＳＨＡ一１变化生　

成１６０　ｂｉｔ的密文摘要，然后将该密文摘要转化为　

ｌ６进制，再将每个字节对应的ｌ６进制数值进行相加　

得到长度为１　Ｂｙｔｅ的附加值，附加在生成的密文摘要　

３　登录信息的安全隐患及现有信息获取手段、　

３．１安全隐患分析　

尽管Ｗｉｎｄｏｗｓ　７自带的ＩＥ８．０对登录信息采甩了　

更加完备的保护策略，然而，它同样存在着一定的安．　

第３９卷第１期　张航，吴灏，许蓉：ＩＥ８．０登录信息保护机制的缺陷分析与利用　３１５　

全风险。　

根据２．３节的安全性分析可知，若能够得到登录　

信息对应的网站明文ＵＲＬ，即可对存储在注册表中的　

登录信息进行还原。然而，由于无法从网站标识逆向　

出明文ＵＲＬ，因此取证人员需要采取一定的手段通过　

其他途径进行获取。　

３．２现有信息获取手段及不足　

３．２．１现有信息获取手段　

由于ＩＥ历史记录记录了最近一段时间用户浏览　

过的网站ＵＲＬ，因此取证人员可以通过读取ＩＥ存储　

的历史记录对ＵＲＬ信息进行获取。微软提供了一系　

列ＡＰＩ函数对ＩＥ缓存进行处理，其中，包括对历史　

记录的读取，取证人员可通过ＥｎｕｍＵｒｌｓ函数逐条对　

历史记录进行读取，并按照２．２．１节所述网站标识　

的生成方式，对记录进行处理，直到找出正确　

的ＵＲＬ。　

３．２．２现有信息获取手段的不足　

尽管３．２．１节提出的方法可以有效获取登录网站　

的ＵＲＬ，但是，若用户对ＩＥ属性进行安全设置，选　

择“退出时删除历史记录”，则在用户退出浏览器的　

同时，ＩＥ将清空历史记录中存储的信息。这样，取证　

人员就无法获取历史记录信息，从而无法对登录信息　

进行还原。　

４基于拦截历史记录操作的还原方法　

用户在３．２．２节中的安全设置将使攻击者无法读　

取存储的历史记录信息，进而无法匹配出生成网站标　

识的ＵＲＬ，最终无法获取注册表中存储的登录信息。　

针对３．２．２节中的安全设置，本文提出一种新的　

方法，该方法能够在用户设置“退出时删除历史记录”　

的前提下，有效获取用户登录网站的ＵＲＬ，并在此基　

础上＿，筛选出注册表中网站标识对应的ＵＲＬ，最终实　

现登录信息的还原。对登录信息的还原共分３个步骤，　

即ＵＲＬ的提取、加密密钥的获取（网站标识的还原）、　

登录信息的还原。　

４．１　ＵＲＬ的提取　

根据一定的测试分析得知，若用户选择“退出时　

删除历史记录”，仅是在用户使用完毕ＩＥ浏览器，单　

击关闭退出时，ＩＥ的ＩＥｘｐｌｏｒｅｒ．ｅｘｅ进程调用　

Ｓｈｄｏｃｖｗ．ｄｌｌ，清空历史文件ｉｎｄｅｘ．ｄａｔ中存储的历史记　

录信息。在ＩＥ浏览器尚未关闭，即ＩＥｘｐｌｏｒｅｒ．ｅｘｅ进　

程未终止执行时，ＩＥ仍旧会将用户访问的网站ＵＲＬ　

写入本地历史记录文件中。　

ＩＥ历史记录是ＩＥ缓存的内容之一，主要依赖于　

ｗｉｎｉｎｅｔ库进行管理。用户本机从网络上接收到的任　

何信息都将被缓存到硬盘中，在后续请求中被获取，　

息　

恢复上下文　

（ｂ）改变后的程序流程　

图２　漉程改变前后程序执行情况对比　

４．２加密密钥的获取　

在完成４．１节的前提下，即可对注册表中的网站　

标识进行还原，获取用户登录信息的加密密钥。获取　

思路为：逐条提取４．１节中获取的ＵＲＬ信息，根据网　

站标识的生成原理，对ＵＲＬ信息进行处理，并将处　

理结果与存储在注册表中的网站标识进行对比，若匹　

配成功，则该ＵＲＬ即为登录信息的加密密钥。加密　

密钥的获取流程如图３所示。在成功提取出加密密钥　

后，　即可对登录信息进行还原。　

３１６　计算机工程　２０１３年１月１５日　

圈３加密密钥的获取漉程　

４．３登录信息的还原　

在完成４．２节的工作后，即可对注册表中存储的　

登录信息进行还原。还原思路为：使用４．２节中获取　

的加密密钥作为解密函数ＣｒｙｐｔＵｎｐｒｏｔｅｃｔＤａｔａ０ｆ￣第　

二密钥熵，还原存储在注册表中的登录信息。还原后　

的数据结构如下：　

ｓｔｒｕｃｔ　ＩＥＡｕｔｏＳｅｃｒｅｔＨｅａｄｅｒ　

｛　

ＤＷＯＲＤ　ｄｗＳｉｚｅ；　

ＤＷＯＲＤ　ｄｗＳｅｃｒｃⅡｎｆ０Ｓｉｚｅ：　

ＤＷＯＲＤ　ｄｗＳｅｃｒｅｔＳｉｚｅ；／／￣录信息长度　

ＳｅｃｒｅｔＥｎｔｒｙ　ｓｅｃＥｎｔｒｉｅｓ［ｎｕｍＳｅｃｒｅｔｓ］；／／登录信息头　

ＷＣＨＡＲ　ｓｅｃｒｅｔｓ［ｎｕｍＳｅｃｒｅｔｓ］；／／登录信息　

｝　

ｓｅｃＥｎｔｒｙ结构如下：　

ｓｔｒｕｃｔ　ＳｅｃｒｅｔＥｎｔｒｙ　

｛　

ＤＷＯＲＤ　ｄｗＯｆｆｓｅｔ；／／ｒｄ￣录信息与入口的偏移　

ＢＹＴＥ　ＳｅｃｒｅｔＩｄ［８］；　

ＤＷＯＲＤ　ｄｗＬｅｎｇｔｈ；　

｝　

ｓｅｃＥｎｔｒｙ的ｄｗＯｆｆｓｅｔ参数定义了真实的登录信息　

距离ｓｅｃＥｎｔｒｙ的偏移。因此，根据该参数可以定位登　

录信息位置，进而获取真实的登录信息。　

５实验验证　

本文在Ｗｉｎｄｏｗｓ　７　Ｈｏｍｅ　Ｂａｓｉｃ　３２／６４　ｂｉｔ、　

Ｗｉｎｄｏｗｓ　７　Ｕｌｔｉｍａｔｅ　３２　ｂｉｔ中进行测试。实验共分　

２个部分：（１）获取保存登录信息的网站ＵＲＬ。（２）对　

注册表中存储的登录信息进行还原。　

５．１网站ＵＲＬ获取　

测试方法：分别在不设置“退出时删除历史记录”　

和设置“退出时删除历史记录”２种情况下，使用　

３．２．１节与４．１节中的方法进行测试。　

测试步骤如下：　

（１）打开ＩＥ浏览器浏览网站，在ＩＥ选项卡中，不　

选择“退出时删除历史记录”，分别使用３．２．１节和　

４．１节方法对历史记录中存储的信息进行读取。　

（２）打开ＩＥ浏览器浏览网站，在ＩＥ选项卡中选择　

“退出时删除历史记录”，使用３．２．１节提出的方法对　

历史记录中存储的信息进行读取。　

（３）打开ＩＥ浏览器浏览网站，在ＩＥ选项卡中，依　

旧选择“退出时删除历史记录”，使用４．１节中提出　

的方法对历史记录中存储的信息进行读取。　

测试结果：在步骤（１）中，使用３．２．１节和４．１节中　

的方法均可获取历史记录信息。未设置ＩＥ选项后读　

取的历史记录如图４所示。　

图４未设置ＩＥ逸项后读取昀历史记录　

在步骤（２）中，使用３．２．１节方法没有获取任何历　

史记录信息。　

在步骤（３）中，使用４．１节方法可以获取历史记录　

信息，设置ＩＥ选项后读取的历史记录如图５所示。　

ｌｌｌ　５设置ＩＥ造项后读取的历史记录　

第３９卷第１期　张航，吴灏，许蓉：ＩＥ８．０登录信息保护机制的缺陷分析与利用　３１７　

测试结果表明，通过拦截ＩＥ对历史记录的清空　

ＡＣＭ　ＳＩＧＯＰＳ　Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍｓ　Ｒｅｖｉｅｗ，２００８，４２（３）：　

操作，能够在用户选择“退出时删除历史记录”的前　

６５．７３．　

提下，有效获取存储在历史记录文件中的ＵＲＬ信息。　

［２］Ｂｅｘ　Ｆ，Ｋｏｐｐｅｎ　Ｐ　Ｐｒａｋｋｅｎ　Ｈ，ｅｔ　ａ１．Ａ　Ｈｙｂｒｉｄ　Ｆｏｒｍａｌ　

５．２登录信息还原　

Ｔｈｅｏｒｙ　ｏｆ　Ａｒｇｕｍｅｎｔｓ，Ｓｔｏｒｉｅｓ　ａｎｄ　Ｃｒｉｍｉｎａｌ　Ｅｖｉｄｅｎｃｅ［Ｊ］．　

测试方法：采用４．２节、４－３节方法对注册表中　

Ａｒｔｉｉｆｃｉａｌ　Ｉｎｔｅｌｌｉｇｅｎｃｅ　ａｎｄ　Ｌａｗ，２０１０，１８（２）：１２３—１５２．　

存储的登录信息进行还原测试。　

［３】Ａｌｈａｆｌｉ　Ｋ，Ｊｏｎｅｓ　Ａ，Ｍａｒｔｉｎ　Ｔ　Ｆｏｒｅｎｓｉｃ　Ａｎａｌｙｓｉｓ　ｏｆ　ｔｈｅ　

测试步骤如下：　

Ｗｉｎｄｏｗｓ　７　Ｒｅｇｉｓｔｒｙ［ＥＢ／ＯＬ］．ｆ２０１０—１　１－２１）．ｈｔｔｐ：／／ｗｗｗ．　

（１）根据４．２节方法，获取加密密钥。　

ｆｏｒｅｎｓｉｃｆｏｃｕｓ．ｃｏｍ／ｉｎｄｅｘ．ｐｈｐ？ｎａｍｅ＝Ｃｏｎｔｅｎｔ＆ｐｉｄ＝７３＆ｐａ　

ｇｅ＝７．　

（２）根据４．３节方法，还原注册表中存储的登录　

信息。　

［４】通过Ｐｒｏｔｅｃｔｅｄ　Ｓｔｏｒａｇｅ获取账号信息［ＥＢ／ＯＬ］．（２０１０－　

测试结果及分析：使用本文方法，能够有效获取　

０１－２１）．ｈｔｔｐ：／／ｐｕｂｌｉｓｈ．ｉｔ１６８．ｃｏｍ／２００７／０７０５／２００７０７０５０３６　

５０１．ｓｈｔｍ１．　

加密密钥以及用户登录信息。从注册表中还原的登录　

［５】　Ｃａｎｅｔｔｉ　Ｒ，Ｈａｌｅｖｉ　Ｓ，Ｓｔｅｉｎｅｒ　Ｍ．Ｍｉｔｉｇａｔｉｎｇ　Ｄｉｃｔｉｏｎａｒｙ　

信息如图６所示。　

Ａｔｔａｃｋｓ　ｏｎ　Ｐａｓｓｗｏｒｄ－ｐｒｏｔｅｃｔｅｄ　Ｌｏｃａｌ　Ｓｔｏｒａｇｅ［Ｃ］／／Ｐｒｏｃ．ｏｆ　

加密密钥：ｈｔｔｐ：／／ｗｗｗ．ｒｅｎｒｅｎ．ｃｏｍ／　

ｔｈｅ　２６ｔｈ　Ａｎｎｕａｌ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ａｄｖａｎｃｅｓ　ｉｎ　

用户名：ｍｉｎｉｍｏｕｓｅ１００＠１２６．ｃｏｒｎ　

Ｃｒｙｐｔｏｌｏｇｙ．Ｂｅｒｌｉｎ，Ｇｅｒｍａｎｙ：Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，２００６．　

密码：ｌ　ｑａｚ３ｅｄｃ＠５ｔｇｂ　

［６］张松散，陶荣，于国华．安全散列算法ＳＨＡ．１的研　

加密密钥：ｈｔｔｐ：／／ｗｗｗ．ａｍａｚｏｎ．ｃｎ／ａｐ／ｓｉｇｎｉｎ　

究［Ｊ］．计算机安全，２０１０，（１０）：３－５．　

用户名：Ａｌｉｃｅｌ　１５７８２＠１２６．ｔｏｍ　

［７］　Ｂｕｒｚｓｔｅｉｎ　Ｊ　Ｅ　Ｒｅｃｏｖｅｉｒｎｇ　Ｗｉｎｄｏｗｓ　Ｓｅｃｒｅｔｓ　ａｎｄ　ＥＦＳ　

密码：１２３ａｂｅ＠ｔｘｔ　

Ｃｅｒｔｉｉｆｃａｔｅｓ　Ｏｆｆｌｉｎｅ［Ｃ］／／Ｐｒｏｃ．ｏｆ　ｔｈｅ　４ｔｈ　ＵＳＥＮＩＸ　

图６从注册表中还原的登录信息　

Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｏｆｆｅｎｓｉｖｅ　Ｔｅｃｈｎｏｌｏｇｉｅｓ．Ｂｅｒｋｅｌｅｙ，ＵＳＡ：　

ＵＳＥＮＩＸ　Ａｓｓｏｃｉａｔｉｏｎ，２０１０．　

６结束语　

［８】Ｈａｎ　Ｊｉ—Ｓｕｎｇ，Ｌｅｅ　Ｋｅｕｎ—Ｇｉ，Ｊｏｏｎｈｏ　Ｃ，ｅｔ　ａ１．Ａｎａｌｙｓｉｓ　ｏｆ　

本文针对Ｗｉｎｄｏｗｓ７操作系统自带的ＩＥ浏览器，　

Ｃｏｎｎｅｃｔｉｏｎ　Ｉｎｆｏｒｍａｔｉｏｎ　ｆｏｒ　Ｄａｔａｂａｓｅ　Ｓｅｒｖｅｒ　Ｄｅｔｅｃｔｉｏｎ［Ｃ］＃　

通过对其登录信息采用的加密存储机制进行分析，提　

Ｐｒｏｃ．ｏｆ　ｔｈｅ　２ｎｄ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｃｏｍｐｕｔｅｒ　

出在用户对ＩＥ进行安全设置的前提下，采用拦截历　

Ｓｃｉｅｎｃｅ　ｎａｄ　Ｉｔｓ　Ａｐｐｌｉｃａｔｉｏｎｓ＿【Ｓ．１．］：ＩＥＥＥ　Ｐｒｅｓｓ，２００９．　

史记录操作的方法，进行突破、获取用户的登录信息。　

［９］Ｂｅｌｌａｒｅ　Ｍ，Ｃａｎｅｔｔｉ　Ｒ，Ｋｒａｗｃｚｙｋ　Ｈ＿Ｋｅｙｉｎｇ　Ｈａｓｈ　Ｆｕｎｃ－　

实验结果表明，该方法能够在用户进行安全设置的情　

ｔｉｏｎｓ　ｆｏｒ　Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ［Ｃ］／／Ｐｒｏｃ．ｏｆ　ｔｈｅ　１　６ｔｈ　

况下，获取用户自动登录的ＩＥ登录信息。下一步将　

Ａｎｎｕａｌ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｒｙｐｔｏｌｏｇｙ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ａｄｖａｎｃｅｓ　

要研究如何对用户未选择自动保存的登录信息进行　

ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ．Ｌｏｎｄｏｎ，ＵＫ：Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，１　９９６．　

获取。　

［１０】Ｍａｔｔｈｅｗ　Ｃ．Ｉｎｔｅｒｅｎｔ　Ｅｘｐｌｏｒｅｒ　ｒＡｃｈｉｔｅｃｔｕｒｅ［ＥＢ／ＯＬ］．（２０１０－　

参考文献　

１１－２１）．ｈｔｔｐ：／／ｍｓｄｎ．ｍｉｃｒｏｓｏｆｔ．ｃｏｍ／ｅｎ－ｕｓ／ｌｉｂｒａｒｙ／ａａ７４１３１１　

［１］Ｓｕｔｈｅｒｌａｎｄ　Ｉ，Ｅｖａｎｓ　Ｊ，Ｔｒｙｆｏｎａｓ　Ｔ，ｅｔ　ａ１．Ａｃｑｕｉｒｉｎｇ　

（ｖ＝ｖｓ．８５）．ａｓｐｘ．　

Ｖｏｌａｔｉｌｅ　Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ　Ｄａｔａ　Ｔｏｏｌｓ　ａｎｄ　Ｔｅｃｈｎｉｑｕｅｓ［Ｊ］．　

编辑刘冰　

（上接第３１２页）　

［９］Ｅｒｅｚ　Ｂ　Ｙｏｎｉｎａ　Ｅ．Ａ　Ｆａｓｔ　ａｎｄ　Ｆｌｅｘｉｂｌｅ　Ｍｅｈｔｏｄ　ｆｏｒ　ｔｈｅ　

［１２】Ａｄａｍ　Ｂ，Ｏｌｓｈｅｎ　Ｅ，Ｖｅｎｋａ￣ａｍａｎ　Ｓ．Ｃｉｒｃｕｌａｒ　Ｂｉｎａｒｙ　

Ｓｅｇｍｅｎｔａｔｉｏｎ　ｏｆ　ａＣＧＨ　Ｄａｔａ［Ｊ］．Ｂｉｏｉｎｆｏｒｍａｔｉｃｓ，２００８，　

Ｓｅｇｍｅｎｔａｔｉｏｎ　ｆｏｒ　ｔｈｅ　Ａｎａｌｙｓｉｓ　ｏｆ　Ａｒｒａｙ—ｂａｓｅｄ　ＤＮＡ　Ｃｏｐｙ　

２４（１６）：１３９－１４５．　

Ｎｕｍｂｅｒ　Ｄａｔａ［Ｊ］．Ｂｉｏｓｔａｔｉｓｔｉｃｓ，２００４，５（４）：５５７—５７２．　

［１０］Ｇａｅｌｌｌａ　Ｍ，Ｂｅｎｊａｎｉｍ　Ｒ　Ｓ，Ｍｏｎｔｓｅｒｒａｔ　Ｇ　Ｃ，ｅｔ　ａ１．　

［１３］Ｖｅｎｋａ￣ａｍａｎ　Ｅ　Ｓ，Ａｄａｍ　Ｂ　０．Ａ　Ｆａｓｔｅｒ　Ｃｉｒｃｕｌａｒ　Ｂｉｎａｒｙ　

Ａｓｓｅｓｓｍｅｎｔ　ｏｆ　Ｃｏｐｙ　Ｎｕｍｂｅｒ　Ｖａｒｉａｔｉｏｎ　Ｕｓｉｎｇ　ｔｈｅ　Ｉｌｌｕｍｉｎａ　

Ｓｅｇｍｅｎｔａｔｉｏｎ　Ａｌｇｏｒｉｔｈｍ　ｆｏｒ　ｔｈｅ　Ａｎａｌｙｓｉｓ　ｏｆ　Ａｒｒａｙ　ＣＧＨ　

Ｉｎｆｉｎｉｕｍ　１Ｍ　ＳＮＰ—ａｒｒａｙ：Ａ　Ｃｏｍｐａｒｉｓｏｎ　ｏｆＭｅｔｈｏｄｏｌｏｇｉｃａｌ　

Ａｐｐｒｏａｃｈｅｓ　ｉｎ　ｔｈｅ　Ｓｐａｎｉｓｈ　Ｂｌａｄｄｅｒ　Ｃａｎｅｅｒ／ＥＰＩＣＵＲＯ　

Ｄａｔａ［Ｊ］．Ｂｉｏｉｎｆｏｒｍａｔｉｃｓ，２００７，２３（６）：６５７－６６３．　

Ｓｔｕｄｙ［Ｊ］＿Ｈｕｍａｎ　Ｍｕｔａｔｉｏｎ，２０１　１，３２（２）：２４０－２４８．　

［１４】Ｉｌｌｕｍｉｎａ　Ｃｏｒｐｏｒａｔｉｏｎ．ＤＮＡ　Ｃｏｐｙ　Ｎｕｍｂｅｒ　Ａｎａｌｙｓｉｓ　

［１　１】Ｉｌｌｕｍｉｎａ　Ｃｏｒｐｏｒａｔｉｏｎ．ＤＮＡ　Ｃｏｐｙ　Ｎｕｍｂｅｒ　ａｎｄ　Ｌｏｓｓ　ｏｆ　

Ａｌｇｏｒｉｔｈｍｓ［ＥＢ／ＯＬ］．（２０１０－０８－２１）．ｈｔｔｐ：／／ｗｗｗ．ｐａｓｔｅｕｒ．ｆｒ／　

Ｈｅｔｅｒｏｚｙｇｏｓｉｔｙ　Ａｎａｌｙｓｉｓ　Ａｌｇｏｒｉｔｈｍｓ［ＥＢ／ＯＬ］．（２０１０－　

ｉＤ／ｒＩｏｒｔａｌ／ａｃｔｉｏｎ／ＷｅｂｄｒｉｖｅＡｃｔｉｏｎＥｖｅｎｔ／ｏｉｄ／０　１　ｓ．００００３ｆ－００．　

１　１－２１）．ｈｔｔｐ：／／ｗｗｗ．ｉｌｌｕｍｉｎａ．ｔｏｍ．　

编辑刘冰