搜索

[14353] 2019-07-16_Instagram曝出漏洞，10分钟破解任意账户

文档创建者：s7ckTeam
浏览次数：62
最后更新：2025-01-18
2019-07-16_Instagram曝出漏洞，10分钟破解任意账户 I n s t a g r a m 曝 出 漏 洞 ， 1 0 分 钟 破 解 任 意 账 户 K a r u n e s h 9 1   F r e e B u f   2 0 1 9 - 0 7 - 1 6 知 名 社 交 软 件 知 名 社 交 软 件 I n s t a g r a m 近 日 被 曝 出 一 个 漏 洞 ， 号 称 可 以 在 不 与 用 户 发 生 任 何 互 动 的 情 况 下 窃 取 对 方 近 日 被 曝 出 一 个 漏 洞 ， 号 称 可 以 在 不 与 用 户 发 生 任 何 互 动 的 情 况 下 窃 取 对 方 i n s 账 户 。 账 户 。 由 于 F a c e b o o k 的 “ 倒 台 ” ， I n s t a g r a m 正 在 逐 渐 成 为 世 界 上 最 受 欢 迎 的 社 交 媒 体 ， 其 在 照 片 分 享 和 用 户 互 动 层 面 占 据 了 绝 对 的 主 导 地 位 。 尽 管 拥 有 先 进 的 防 护 机 制 ， 但 F a c e b o o k 、 G o o g l e 、 L i n k e d I n 等 大 型 平 台 也 无 法 完 全 避 免 来 自 地 下 世 界 的 攻 击 ， 更 何 况 ， 他 们 本 身 就 有 不 少 漏 洞 。 最 近 ， i n s 发 布 声 明 称 发 现 了 一 系 列 漏 洞 ， 目 前 状 态 是 一 部 分 已 修 复 ， 一 部 分 正 在 修 复 ， 还 一 部 分 没 找 到 （ ？ ？ ？ ） 。 本 文 要 说 的 是 一 个 已 被 修 复 的 漏 洞 。 据 悉 ， 黑 客 能 够 通 过 这 个 漏 洞 重 置 任 意 I n s t a g r a m 账 户 的 密 码 并 取 得 其 完 全 控 制 权 。 该 漏 洞 由 一 名 来 自 印 度 的 漏 洞 赏 金 猎 人 L a x m a n   M u t h i y a h 发 现 。 漏 洞 存 在 于 i n s 移 动 端 的 密 码 恢 复 机 制 内 ， 使 用 “ 密 码 重 置 ” 或 “ 密 码 恢 复 ” 功 能 可 使 用 户 在 忘 记 密 码 的 情 况 下 重 新 找 回 账 户 。 视 频 演 示 视 频 演 示
I n s t a g r a m 的 密 码 找 回 机 制 是 这 样 的 ： 用 户 在 找 回 密 码 之 前 ， 必 须 先 通 过 手 机 或 邮 箱 收 到 的 六 位 数 验 证 码 来 进 行 身 份 验 证 ， 这 就 意 味 着 ， 如 果 你 能 破 解 几 百 万 种 组 合 的 验 证 码 ， 那 么 就 能 破 解 用 户 密 码 （ 废 话 ） 。 但 实 际 上 这 种 操 作 是 不 可 能 实 现 的 ， 因 为 i n s 限 制 了 密 码 尝 试 次 数 和 速 度 。 但 是 ， L a x m a n 发 现 ， 这 个 机 制 可 以 通 过 使 用 来 自 不 同 I P 地 址 同 事 发 送 多 个 请 求 进 行 多 次 尝 试 来 绕 过 对 速 率 的 限 制 。 他 表 示 ， 由 于 i n s 官 方 没 有 强 制 性 的 永 久 阻 止 代 码 机 制 ， 所 以 速 率 限 制 方 面 的 1 0 分 钟 就 是 这 个 机 制 的 关 键 ， 使 用 并 发 请 求 和 I P 轮 换 可 以 让 我 绕 过 这 个 机 制 。 如 视 频 演 示 的 那 样 ， L a x m a n 通 过 快 速 进 行 2 0 0 0 0 0 万 种 不 同 密 码 组 合 的 尝 试 成 功 的 证 明 了 I n s t a g r a m 账 户 存 在 可 被 劫 持 的 漏 洞 ， 并 表 示 ， 在 真 实 的 攻 击 情 形 中 ， 攻 击 者 大 概 需 要 5 0 0 0 个 不 同 的 I P 来 破 解 对 方 账 户 ， 尽 管 听 起 来 可 能 很 多 ， 但 实 际 上 ， 如 果 是 像 亚 马 逊 或 谷 歌 这 类 的 云 服 务 供 应 商 ， 那 就 很 容 易 实 现 ， 执 行 一 次 攻 击 大 概 需 要 花 费 1 5 0 美 元 。 目 前 ， 这 个 漏 洞 已 经 被 I n s t a g r a m 官 方 修 复 了 ， 并 且 也 给 L a x m a n 三 万 美 元 作 为 发 现 漏 洞 的 奖 励 （ 我 酸 了 ） 。 并 且 发 布 公 告 称 ， 为 了 保 护 您 的 账 户 免 受 多 种 类 型 的 线 上 攻 击 ， 以 及 减 少 攻 击 者 直 接 针 对 应 用 程 序 发 动 攻 击 的 机 会 ， 强 烈 建 议 用 户 启 用 “ 双 因 素 身 份 验 证 ” ， 这 可 以 有 效 防 止 黑 客 非 法 访 问 您 的 账 户 以 及 窃 取 密 码 。 * 参 考 来 源 ： 参 考 来 源 ： t h e h a c k e r n e w s ， ， K a r u n e s h 9 1 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理