搜索

[5426] 2018-10-15_Branch.io漏洞将Tinder,Shopify,Yelp用户暴露于XSS攻击下

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2018-10-15_Branch.io漏洞将Tinder,Shopify,Yelp用户暴露于XSS攻击下 B r a n c h . i o 漏 洞 将 T i n d e r , S h o p i f y , Y e l p 用 户 暴 露 于 X S S 攻 击 下 原 创   E 安 全   E 安 全   2 0 1 8 - 1 0 - 1 5 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m 1 0 月 1 5 日 讯 ， T i n d e r ， S h o p i f y , Y e l p 等 其 他 各 平 台 使 用 的 B r a n c h . i o 服 务 存 在 漏 洞 ， 用 户 或 已 受 跨 站 点 脚 本 ( X S S ) 攻 击 。 当 v p n M e n t o r 研 究 人 员 发 现 T i n d e r 域 名 ： g o . t i n d e r . c o m ， 存 在 多 个 X S S 漏 洞 ， 他 们 正 在 分 析 T i n d e r 和 其 它 各 约 会 应 用 。 据 v p n M e n t o r 称 ， 黑 客 本 可 以 利 用 这 些 漏 洞 来 盗 取 T i n d e r 用 户 的 个 人 资 料 。 不 过 ， 值 得 指 出 的 是 ， 利 用 X S S 漏 洞 通 常 需 要 目 标 用 户 点 击 精 心 制 作 的 恶 意 链 接 。 获 知 漏 洞 信 息 后 ， T i n d e r 安 全 团 队 开 展 调 查 ， 发 现 “ g o . t i n d e r . c o m ”   域 实 为   “ c u s t o m . b n c . l t ” 的 别 名 ， 一 个 B r a n c h . i o 资 源 。 B r a n c h . i o 公 司 总 部 位 于 加 利 福 尼 亚 ， 其 方 案 为 各 公 司 创 建 推 荐 系 统 的 深 度 链 接 ， 和 用 于 溯 源 及 分 析 目 的 的 邀 请 、 分 享 链 接 。 v p n M e n t o r 表 示 ， 受 感 染 的 B r a n c h . i o 资 源 也 被 Y e l p , W e s t e r n   U n i o n ,   S h o p i f y , R o b i n H o o d ,   L e t g o ,   i m g u r ,   L o o k o u t ,   f a i r . c o m 及 C u v v a 等 其 他 大 公 司 所 使 用 。 该 V P N 公 司 研 究 人 员 预 计 ： 这 些 漏 洞 影 响 用 户 数 已 高 达 6 8 5 0 0 万 ， 这 些 用 户 都 使 用 了 该 受 感 染 的 服 务 。 虽 漏 洞 已 修 复 ， 也 无 证 据 显 示 漏 洞 遭 恶 意 利 用 ， 但 预 防 起 见 ， v p n M e n t o r 仍 建 议 用 户 更 改 密 码 。 关 于 该 漏 洞 ， 专 家 表 示 ， 由 于 B r a n c h . i o 未 能 应 用 内 容 安 全 政 策 （ C S P ） ， 基 于 D O M 的 X S S 在 许 多 浏 览 器 本 就 易 遭 黑 客 利 用 。 v p n M e n t o r 在 一 篇 博 客 文 章 中 写 道 ， “ 在 基 于 D O M 的 X S S 这 类 攻 击 中 ， 攻 击 载 荷 的 执 行 导 致 在 受 害 者 浏 览 器 D O M 环 境 的 修 改 ， 且 更 多 的 时 候 是 在 动 态 环 境 下 。 在 基 于 D O M 的 X S S 中 ， H T M L 源 代 码 与 攻 击 应 答 完 全 一 致 。 也 就 是 说 ， 无 法 在 攻 击 应 答 中 发 现 恶 意 载 荷 ， 这 给 那 些 内 置 了 缓 解 X S S 特 性 的 浏 览 器 像 C h r o m e ’ s X S S   A u d i t o r 的 执 行 增 加 了 许 多 难 度 。 ” 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m
推 荐 阅 读 ： 手 机 “ 自 动 订 房 ” ？ 现 场 检 测 揭 秘 真 相 如 何 利 用 分 段 机 制 保 护 物 联 网 ？ 对 话 范 渊 ： 安 全 成 为 推 动 数 字 经 济 发 展 的 新 动 能 爱 打 游 戏 也 是 一 种 出 路 ！ 可 以 转 行 搞 安 全 N S A 在 美 国 网 络 安 全 中 的 作 用 是 什 么 ？ 美 国 《 量 子 信 息 科 学 国 家 战 略 概 述 》 网 安 领 域 奥 斯 卡 “ 强 网 杯 ” 精 英 赛 百 万 大 奖 花 落 安 恒 H A C 战 队 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理