搜索

[4495] 2017-11-01_漏洞收割机现bug，谷歌自己都惊了！

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2017-11-01_漏洞收割机现bug，谷歌自己都惊了！ 漏 洞 收 割 机 现 b u g ， 谷 歌 自 己 都 惊 了 ！ 原 创   E 小 编   E 安 全   2 0 1 7 - 1 1 - 0 1 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 1 月 1 日 讯   一 位 来 自 罗 马 尼 亚 的 b u g 猎 手 从 谷 歌 公 司 的 官 方 b u g 追 踪 工 具 中 发 现 了 三 项 安 全 缺 陷 ， 其 中 一 项 已 经 被 用 于 向 未 授 权 入 侵 者 泄 露 与 漏 洞 相 关 的 敏 感 信 息 。 发 现 这 一 问 题 的 研 究 人 员 名 为 A l e x   B i r s a n （ 亚 历 克 斯 · 伯 桑 ） ， 其 解 释 称 最 后 一 项 安 全 缺 陷 可 谓 “ 谷 歌 b u g 中 的 圣 杯 ” ， 因 为 其 允 许 攻 击 者 访 问 谷 歌 产 品 中 各 类 尚 未 得 到 解 决 的 安 全 漏 洞 。 一 旦 被 对 方 掌 握 ， 攻 击 者 将 能 够 利 用 这 些 安 全 缺 陷 实 现 自 己 的 目 的 ， 或 者 将 此 类 信 息 通 过 黑 市 进 行 出 售 ， 最 终 导 致 数 亿 谷 歌 用 户 面 临 巨 大 风 险 。 “ 谷 歌 中 央 谷 歌 中 央 b u g 追 踪 系 统 追 踪 系 统 ” 可 访 问 可 访 问 这 三 项 缺 陷 影 响 到 谷 歌 的 I s s u e   T r a c k e r — — 也 被 称 为 B u g a n i z e r ， 这 是 一 款 类 似 论 坛 的 应 用 程 序 ， 负 责 追 踪 谷 歌 产 品 中 的 错 误 报 告 与 安 全 漏 洞 。 B i r s a n 在 接 受 采 访 时 解 释 称 ， “ B u g a n i z e r 是 谷 歌 公 司 的 中 央 b u g 追 踪 系 统 ， 很 可 能 亦 包 含 有 谷 歌 内 部 系 统 的 漏 洞 信 息 。 ” 但 B i r s a n 表 示 ， 只 进 行 了 最 低 限 度 的 尝 试 以 确 认 这 项 漏 洞 真 实 存 在 ， 并 无 法 1 0 0 % 确 定 。 他 查 看 了 几 项 连 续 b u g   I D ， 实 际 本 无 权 访 问 这 些 信 息 。 但 必 须 承 认 ， 目 前 的 状 况 是 只 要 愿 意 还 可 以 查 看 大 量 其 他 有 趣 的 资 讯 。
通 常 情 况 下 ， 只 有 谷 歌 员 工 与 b u g 猎 手 才 能 访 问 B u g a n i z e r — — 而 他 们 一 般 会 接 受 严 格 的 访 问 限 制 ， 包 括 仅 接 触 与 其 报 告 或 者 所 需 要 修 复 的 漏 洞 相 关 的 内 容 。 三 项 安 全 缺 陷 三 项 安 全 缺 陷 b u g 猎 人 获 十 万 余 元 奖 励 猎 人 获 十 万 余 元 奖 励 效 力 于 一 家 罗 马 尼 亚 网 络 安 全 企 业 的 P y t h o n 开 发 人 员 B i r s a n 指 出 ， 他 在 今 年 9 月 2 7 日 至 1 0 月 4 日 之 间 的 业 余 时 段 内 发 现 了 这 些 b u g 。 这 三 项 问 题 分 别 为 ： 一 种 利 用 B u g a n i z e r 通 用 电 子 邮 件 地 址 命 名 模 式 注 册 @ g o o g l e . c o m 邮 件 地 址 的 方 式 。 一 种 通 过 订 阅 及 通 知 接 收 了 解 他 本 无 权 接 触 的 b u g 信 息 的 方 式 。 一 种 欺 骗 B u g a n i z e r   A P I 以 访 问 每 项 b u g 信 息 的 方 式 。 谷 歌 公 司 为 第 一 项 b u g 支 付 了 3 1 3 3 . 7 美 元 赏 金 ， 第 二 项 为 5 0 0 0 美 元 ， 第 三 项 则 为 7 5 0 0 美 元 （ 约 合 人 民 币 分 别 为 2 0 7 7 2 元 、 3 3 1 4 3 元 、 4 9 7 1 4 元 ） 。 B i r s a n 在 采 访 中 解 释 称 ， 他 在 报 告 第 三 项 b u g 后 的 一 小 时 内 即 收 到 了 回 复 。 除 非 报 告 事 态 确 实 相 当 重 大 ， 否 则 b u g 猎 手 们 一 般 不 会 在 这 么 短 的 时 间 内 即 得 到 回 复 。 谷 歌 内 部 处 理 谷 歌 内 部 处 理 B U G 效 率 高 效 率 高 谷 歌 公 司 应 该 暗 自 庆 幸 ， 因 为 这 些 问 题 被 一 位 出 色 的 b u g 猎 手 及 时 发 现 。 2 0 1 4 年 ， 微 软 公 司 的 内 部 漏 洞 数 据 库 曾 经 被 攻 击 者 入 侵 ， 而 M o z i l l a 公 司 也 在 2 0 1 5 年 遭 遇 到 类 似 的 事 故 。 尽 管 攻 击 者 此 前 有 可 能 已 经 开 始 访 问 敏 感 b u g 报 告 ， 但 B i r s a n 在 一 篇 帖 子 中 解 释 道 ， 攻 击 者 很 难 确 定 任 何 可 用 的 安 全 缺 陷 。 攻 击 者 必 须 话 费 大 量 精 力 每 小 时 筛 选 数 千 份 b u g 报 告 。 B i r s a n 同 时 发 现 谷 歌 公 司 的 数 据 库 每 小 时 会 接 收 到 2 0 0 0 到 3 0 0 0 项 新 问 题 。 此 外 ， B i r s a n 称 自 己 的 漏 洞 报 告 可 能 在 一 小 时 内 被 核 实 ， 漏 洞 很 可 能 在 这 期 间 被 修 复 。 以 此 他 判 断 谷 歌 出 现 的 安 全 缺 陷 影 响 会 降 到 最 低 。
注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 4 7 7 9 0 1 6 7 0 . s h t m l 推 荐 阅 读 ： 谷 歌 的 新 战 争 : 用 A I 消 灭 安 卓 恶 意 软 件 谷 歌 披 露 神 秘 的 以 色 列 间 谍 产 品 公 司 ： E q u u s   T e c h n o l o g i e s 2 . 7 2 亿 个 谷 歌 和 微 软 电 子 邮 件 账 号 被 窃 出 售   每 条 1 美 元 从 A I 到 智 障 只 有 一 个 像 素 的 距 离 新 版 O W A S P   T O P   1 0 ： 这 三 类 新 型 安 全 漏 洞 上 榜 G o o g l e 和 F a c e b o o k 在 内 的 互 联 网 巨 头 正 向 美 国 政 策 战 略 妥 协 预 测 ： 2 0 1 8 年 区 块 链 或 会 重 塑 网 络 安 全 行 业 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理