搜索

[3013] 2016-07-30_“QR二维码登录劫持”（QRLJacking）-如何劫持基于二维码的登录系统

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2016-07-30_“QR二维码登录劫持”（QRLJacking）-如何劫持基于二维码的登录系统 “ Q R 二 维 码 登 录 劫 持 ” （ Q R L J a c k i n g ） - 如 何 劫 持 基 于 二 维 码 的 登 录 系 统 原 创   E 安 全   E 安 全   2 0 1 6 - 0 7 - 3 0 Q R L J a c k i n g 是 网 络 安 全 研 究 人 员 设 计 的 一 种 攻 击 技 术 ， 能 用 来 劫 持 旁 路 基 于 Q R 码 （ 二 维 码 的 一 种 ） 的 快 速 登 录 系 统 。 许 多 桌 面 应 用 程 序 ， 比 如 L i n e ， 微 信 和 W h a t s A p p 允 许 用 户 通 过 基 于 Q R 码 的 安 全 快 速 响 应 登 录 （ S e c u r e   Q u i c k   R e s p o n s e   L o g i n ） 方 式 。 基 于 Q R 码 的 认 证 系 统 允 许 用 户 快 速 登 录 网 站 ， 而 不 需 要 输 入 密 码 。 在 安 全 快 速 响 应 登 录 机 制 中 ， 网 站 会 向 用 户 显 示 Q R 码 ， 用 户 只 需 用 手 机 应 用 程 序 扫 描 即 可 。 一 旦 扫 描 Q R 码 ， 网 站 会 授 权 用 户 访 问 。 这 种 方 法 被 认 为 是 更 安 全 的 密 码 ， 因 为 它 对 攻 击 由 弹 性 ， 比 如 中 间 人 攻 击 和 暴 力 破 解 ， 但 不 幸 的 是 ， 黑 客 发 现 可 以 通 过 一 种 被 称 为 “ Q R 登 录 劫 持 （ Q R L J a c k i n g ） ” （ 又 名 劫 持 基 于 Q R 码 的 登 录 系 统 ） 的 方 式 实 施 攻 击 。 埃 及 网 络 安 全 专 家 M o h a m e d   A b d e l b a s s e t   E l n o u b y 演 示 了 如 果 从 使 用 Q R 码 验 证 登 录 的 服 务 入 侵 账 号 。 M o h a m e d 发 布 了 一 个 概 念 认 证 展 示 Q R L J a c k i n g 技 术 ， 攻 击 者 只 需 要 说 服 受 害 者 扫 描 攻 击 者 的 Q R 码 。
点 击 图 片 查 看 攻 击 顺 序 如 下 ： 攻 击 顺 序 如 下 ： 1 .   攻 击 者 初 始 化 客 户 端 的 Q R 会 话 并 将 登 录 Q R 码 克 隆 至 一 个 钓 鱼 页 面 。 2 .   然 后 ， 攻 击 者 将 钓 鱼 页 面 发 送 给 受 害 者 。 3 .   如 果 被 说 服 ， 受 害 者 会 使 用 有 针 对 性 的 移 动 应 用 程 序 扫 描 Q R 码 。 4 .   这 个 移 动 应 用 程 序 将 令 牌 密 钥 （ t o k e n   s e c r e t ） 发 送 给 目 标 服 务 来 完 成 认 证 过 程 。 5 .   这 样 一 来 ， 攻 击 者 就 获 得 了 受 害 者 账 户 的 控 制 权 6 .   然 后 服 务 开 始 与 攻 击 者 的 浏 览 器 会 话 交 换 受 害 者 数 据 。 视 频 演 示 ： 视 频 演 示 ：
埃 及 网 络 安 全 专 家 M o h a m e d   A b d e l b a s s e t   E l n o u b y 解 释 称 ， “ 攻 击 者 初 始 化 一 个 成 功 的 Q R L J a c k i n g 攻 击 就 需 要 编 写 一 个 脚 本 ， 定 期 克 隆 过 期 的 Q R 码 并 刷 新 钓 鱼 网 站 显 示 的 Q R 码 ， 因 为 在 Q R 登 录 过 程 中 ， Q R 码 应 有 过 期 时 间 。 ” 攻 击 者 可 以 利 用 Q R L J a c k i n g 劫 持 Q R 码 登 录 认 证 存 在 漏 洞 的 账 号 。 如 果 想 要 了 解 更 多 有 关 Q R L J a c k i n g 的 信 息 ， 可 以 前 往 O W A S P 和 G i t h u b 去 了 解 : h t t p s : / / w w w . o w a s p . o r g / i n d e x . p h p / Q R L J a c k i n g h t t p s : / / g i t h u b . c o m / O W A S P / Q R L J a c k i n g E 句 话 ： 这 项 技 术 应 该 配 合 社 工 才 可 能 有 用 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理