爱站屋博客 - 好东西不私藏,大家一起分享!关于博客 留言板

网站首页 资讯八卦 正文

微软重大漏洞可导致4亿用户帐户泄露

星云 2018-12-13 资讯八卦 191 ℃

微软重大漏洞可导致4亿用户帐户泄露-第1张图片-【秒速时时彩开奖结果】爱站屋博客

就职于Safety[db:标签]etective安全公司的印度漏洞赏金猎人Sahad Nk,因发现和报告微软账户中的一系列重要漏洞而获得微软的奖励。

这些漏洞影响了Microsoft旗下各类产品的帐户,从MS Office到Outlook电邮件。这意味着,微软全部种类的用户账户(超过4亿)和各种用户数据都容易受到黑客攻击。而如果将这些漏洞联合到一起,将会变成获取用户Microsoft帐户访问权限的完美payload。攻击者只需要强制用户单击一个链接就可完成整个攻击。

参考:https://www.hackread.com/windows-10-version-1809-morphisec-anti-malware-incompatible/

根据Sahad Nk的博客文章,微软的一个子域名“success.office.com”由于配置不当,使他能够通过CNAME记录来控制它。CNAME主要记载域名之间的映射关系。通过利用CNAME记录,Sahad找到了一个服务器配置错误的子域,并将其映射到他的私人Azure实例,获得了该微软子域的控制权,并能获取其收到的所有数据。

然而,这对于微软来说并不是最大的问题;真正的问题在于,当用户通过Microsoft's Live登录Microsoft Office、Sway和应用商店时很容易被黑客欺骗,将经过身份验证的登录令牌传输到由攻击者控制的子域中。发生这种情况的原因是这些存在漏洞的应用使用了通配符正则表达式,所有的微软子域都被认定为可信任的。SafetyDetective的Aviva Zacks解释道。

一旦受害者点击了电子邮箱中收到的攻击者专门设计的链接,他或她将跳转到Microsoft Live的登录系统。当受害者输入用户名、密码和2FA代码(如果启用)时,将生成一个帐户访问令牌,以允许用户重复访问而不需要重新输入登录凭据。

参考:https://www.hackread.com/hackers-publishes-poc-of-zero-day-vulnerability-in-windows-on-twitter/

如果攻击者得到这个访问令牌(它类似于获得真实的用户凭证)攻击者可以可以轻易地登录该帐户,而帐户所有者并不会接到告警,微软也不会接收到未授权访问的警示。

微软重大漏洞可导致4亿用户帐户泄露-第2张图片-【秒速时时彩开奖结果】爱站屋博客

恶意链接的设计方式使得Microsoft登录系统将帐户令牌传输到被受害者控制得子域。还好子域是由Sahad控制,但是,如果是某个恶意的攻击者正在控制这个子域,则可能造成大量的Microsoft帐户凭证泄。最重要的是,恶意链接看起来是没任何问题的,因为用户仍然是通过合法的Microsoft登录系统登录的。

“该漏洞已被修复!” 

Nk(为SafetyDetective工作的人)向微软报告了这个漏洞,好消息是它已经被修复了,但是Nk收到奖金的确切数额仍然未知。

原文链接:https://www.hackread.com/critical-bug-in-microsoft-left-400m-accounts-exposed/

猜你喜欢

本文暂时没有评论哦(●'◡'●)

欢迎 发表评论:

:如果评论未出现,请刷新网页,谢谢合作!

会员中心
搜索
ip签名图
    IP签名图
网站分类
标签列表
文章归档
站点信息
  • 文章总数:112038
  • 页面总数:3
  • 分类总数:12
  • 标签总数:629
  • 评论总数:2060
  • 浏览总数:1241363
爱站云安全认证