搜索

[3970] 2017-06-27_PRMitM攻击：在帐户注册过程中重置受害者的其它密码

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2017-06-27_PRMitM攻击：在帐户注册过程中重置受害者的其它密码 P R M i t M 攻 击 ： 在 帐 户 注 册 过 程 中 重 置 受 害 者 的 其 它 密 码 原 创   E 安 全   E 安 全   2 0 1 7 - 0 6 - 2 7 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 6 月 2 7 日 讯 ， 4 名 以 色 列 科 学 家 发 布 研 究 论 文 ， 详 细 描 述 了 一 种 新 型 攻 击 ， 即 “ 密 码 重 置 中 间 人 攻 击 ” （ P R M i t M ） ， 引 导 受 害 者 在 目 标 网 站 进 行 注 册 ， 并 在 注 册 过 程 中 偷 偷 重 置 该 受 害 者 的 其 它 密 码 。 P R M i t M 属 于 社 会 工 程 类 攻 击 ， 其 要 求 攻 击 者 说 服 或 诱 骗 潜 在 受 害 者 在 陷 阱 网 站 上 注 册 个 人 资 料 。 P R M i t M 攻 击 如 何 操 作 ？ P R M i t M 攻 击 要 求 攻 击 者 创 建 特 殊 后 端 ， 将 数 据 输 入 到 注 册 页 面 ， 并 发 送 至 另 一 站 点 的 密 码 重 置 系 统 。 例 如 ， 当 受 害 者 在 陷 阱 网 站 的 注 册 页 面 输 入 用 户 名 或 电 子 邮 件 ， 恶 意 网 站 的 后 端 会 将 这 类 信 息 发 送 至 G o o g l e 、 Y a n d e x 或 Y a h o o 目 标 页 面 ， 从 而 启 动 密 码 重 置 操 作 。 如 果 密 码 重 置 服 务 要 求 完 成 各 种 安 全 设 置 ， 例 如 验 证 码 、 安 全 问 题 或 短 信 验 证 码 ， 攻 击 者 便 会 通 过 新 程 序 更 新 注 册 程 序 ， 要 求 用 户 在 注 册 页 面 输 入 这 类 信 息 。
短 信 一 样 要 看 完 ？ P R M i t M 攻 击 只 对 接 管 电 子 邮 箱 账 户 有 效 攻 击 只 对 接 管 电 子 邮 箱 账 户 有 效 ， 因 为 如 今 大 多 数 网 站 会 通 过 电 子 邮 件 发 送 密 码 重 置 链 接 。 然 而 ， 电 子 邮 件 提 供 商 会 通 过 其 它 方 式 处 理 该 过 程 ， 例 如 验 证 码 、 安 全 问 题 或 短 信 验 证 码 。 E 安 全 提 醒 那 些 粗 心 大 意 的 用 户 注 意 ， 研 究 人 员 在 测 试 期 间 证 明 ， 许 多 用 户 在 注 册 页 面 输 入 了 所 有 要 求 输 入 的 信 息 ， 丝 毫 没 有 注 意 到 有 人 在 尝 试 入 侵 他 们 的 账 号 。 甚 至 当 受 害 者 通 过 短 信 验 证 码 时 ， 大 多 数 用 户 会 在 手 机 通 知 栏 读 取 验 证 码 ， 而 不 会 查 看 完 整 的 短 信 内 容 。 诸 如 T w i t t e r 或 F a c e b o o k 在 内 的 网 站 会 在 短 信 中 阐 明 验 证 码 的 真 实 用 途 （ 例 如 密 码 重 置 、 注 册 等 ） 。 读 取 完 整 的 短 信 会 让 用 户 免 遭 这 类 攻 击 。 E 安 全 再 次 提 醒 大 家 ， 以 后 看 短 信 信 息 别 看 个 安 全 再 次 提 醒 大 家 ， 以 后 看 短 信 信 息 别 看 个 “ 验 证 码 验 证 码 ” 就 完 了 ， 请 务 必 全 文 阅 读 ！ 就 完 了 ， 请 务 必 全 文 阅 读 ！ 密 码 重 置 链 接 密 码 重 置 链 接 密 码 重 置 时 ， 请 使 用 短 信 等 多 种 方 式 发 送 密 码 ， 勿 仅 限 于 电 子 邮 件 。 。 为 了 防 止 P R M i t M 攻 击 ， 研 究 人 员 建 议 ， 如 果 网 站 或 服 务 提 供 商 取 消 了 电 子 邮 件 发 送 密 码 重 置 服 务 ， 应 至 少 采 用 短 信 发 送 密 码 重 置 链 接 。 当 某 人 试 图 在 另 一 网 站 注 册 时 ， 通 过 短 信 接 收 密 码 重 置 链 接 会 提 醒 受 害 者 可 能 存 在 风 险 。 尽 管 如 此 ， 这 种 缓 解 措 施 无 法 保 护 受 害 者 免 受 国 家 攻 击 者 发 起 这 类 攻 击 ， 这 类 攻 击 者 具 有 资 源 可 以 利 用 S S 7 协 议 中 的 漏 洞 ， 并 劫 持 手 机 号 码 ， 在 自 己 的 手 机 上 接 收 密 码 重 置 通 知 。 2 7 E 安 全 推 荐 文 章 安 全 推 荐 文 章 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 6 月 月   0 1 为 何 越 来 越 多 的 黑 客 偏 爱 电 子 邮 件 网 络 钓 鱼 攻 击
0 2 维 基 解 密 再 次 泄 露 8 千 封 D N C 电 子 邮 件 0 3 如 果 你 被 钓 鱼 了 一 定 要 自 我 反 省   像 素 追 踪 技 术 告 诉 你 这 是 为 什 么 0 4 N I S T 最 新 《 数 字 身 份 指 南 》 ： 废 除 “ 定 期 修 改 密 码 ”   等 过 时 要 求 0 5 纽 约 机 场 7 5 0 G B 数 据 遭 泄 露 ， 包 含 各 类 设 备 密 码 与 员 工 社 会 安 全 号 码 0 6 无 人 机 配 上 W i F i 可 透 视 建 筑 物 进 行 3 D 构 图 【 视 频 】 0 7 【 预 警 】 L o c k y 勒 索 软 件 新 变 种 威 胁 W i n X P 和 V i s t a ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理