搜索

[6429] 2020-01-14_某短视频平台严重漏洞泄露用户数据平台网络安全形式受挑战

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2020-01-14_某短视频平台严重漏洞泄露用户数据平台网络安全形式受挑战 某 短 视 频 平 台 严 重 漏 洞 泄 露 用 户 数 据   平 台 网 络 安 全 形 式 受 挑 战 小 E   E 安 全   2 0 2 0 - 0 1 - 1 4 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网   w w w . e a s y a q . c o m E 安 全 1 月 1 4 日 讯 ， 据 外 媒 报 道 ， 某 短 视 频 平 台 作 为 全 球 最 受 欢 迎 的 短 视 频 社 交 平 台 之 一 ， 在 过 去 的 几 个 月 里 ， 该 应 用 程 序 的 潜 在 风 险 一 直 是 新 闻 报 道 的 焦 点 ， 目 前 ， 该 平 台 在 全 球 拥 有 超 过 1 3 亿 用 户 。 据 报 道 ， 近 日 ， 美 国 陆 军 宣 布 禁 止 士 兵 在 政 府 电 话 中 使 用 该 视 频 软 件 ， 因 为 该 应 用 程 序 可 能 被 黑 客 用 于 监 视 用 户 数 据 ， 并 表 示 该 平 台 中 的 多 个 漏 洞 可 能 使 攻 击 者 能 够 操 纵 用 户 帐 户 并 暴 露 个 人 数 据 ， 包 括 姓 名 ， 电 子 邮 件 地 址 和 生 日 信 息 。   C h e c k   P o i n t 的 安 全 研 究 人 员 发 现 了 该 应 用 程 序 的 数 十 个 漏 洞 ， 使 攻 击 者 可 以 在 任 何 平 台 帐 户 上 执 行 以 下 操 作 ： 研 究 人 员 表 示 ， 发 现 的 漏 洞 包 括 S M S 虚 假 链 接 ， 开 放 重 定 向 ， 跨 站 点 脚 本 虚 假 链 接 ， 开 放 重 定 向 ， 跨 站 点 脚 本 （ （ X S S ） ， 跨 站 点 请 求 伪 造 （ ） ， 跨 站 点 请 求 伪 造 （ C S R F ） 和 敏 感 数 据 暴 露 ） 和 敏 感 数 据 暴 露 ， 结 合 这 些 漏 洞 ， 攻 击 者 可 以 完 全 控 制 任 何 平 台 用 户 帐 户 。
    据 悉 ， 研 究 人 员 发 现 的 第 一 个 漏 洞 是 该 平 台 应 用 程 序 的 S M S 功 能 中 的 漏 洞 。 为 了 帮 助 用 户 安 装 该 应 用 程 序 ， 该 网 站 会 向 用 户 发 送 文 本 消 息 方 便 用 户 下 载 a p p 。 但 是 ， 黑 客 可 以 通 过 平 台 的 官 方 网 站 选 择 将 S M S 消 息 发 送 到 任 何 账 户 号 码 上 ， 使 用 B u r p   S u i t e 这 样 的 代 理 工 具 捕 获 H T T P 请 求 ， 并 且 可 以 将 下 载 U R L 更 改 为 其 他 链 接 ： 攻 击 者 可 以 更 改 U R L
黑 客 通 过 平 台 使 用 伪 造 的 U R L 下 载 S M S 通 过 这 些 操 作 ， 收 件 人 会 获 得 一 个 欺 骗 链 接 而 不 是 用 于 下 载 该 应 用 程 序 的 原 始 链 接 。 研 究 人 员 表 示 ， 该 应 用 程 序 具 有 深 层 链 接 功 能 ， 可 让 用 户 直 接 到 达 应 用 程 序 内 的 某 个 特 定 目 标 。 与 此 同 时 ， 平 台 系 统 中 的 登 录 重 定 向 过 程 也 很 容 易 受 到 攻 击 ， 它 使 攻 击 者 可 以 使 用 网 站 地 址 进 行 任 何 重 新 定 向 。 之 后 ， 研 究 人 员 还 在 该 平 台 网 站 上 发 现 了 一 个 X S S 漏 洞 ： 重 定 向 网 址
        由 于 缺 乏 反 跨 站 点 请 求 伪 造 机 制 ， 因 此 研 究 人 员 表 示 ， 无 需 受 害 者 的 同 意 他 们 就 可 以 执 行 J a v a S c r i p t 代 码 并 代 表 受 害 者 执 行 漏 洞 修 复 操 作 。   对 于 此 次 事 件 ， 该 平 台 的 安 全 专 家 表 示 ， 他 们 一 直 致 力 于 保 护 用 户 数 据 ， 并 且 鼓 励 负 责 任 的 安 全 研 究 人 员 向 组 织 秘 密 披 露 漏 洞 。 而 且 在 公 开 漏 洞 之 前 ， 平 台 会 确 保 所 有 报 告 的 漏 洞 问 题 都 已 在 应 用 程 序 的 最 新 版 本 中 得 到 修 复 ！ 与 此 同 时 ， 研 究 人 员 也 表 示 ， 目 前 发 现 的 所 有 漏 洞 现 确 实 已 修 复 ， 建 议 A n d r o i d 和 i O S 用 户 使 用 该 平 台 的 最 新 版 本 。 更 多 相 关 内 容 参 考 ： h t t p s : / / g b h a c k e r s . c o m / t i k t o k - v u l n e r a b i l i t i e s /           注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 钓 鱼 攻 击 威 胁 选 举 人 隐 私 安 全 ？ 2 0 2 0 年 美 国 大 选 危 机 四 伏 电 缆 调 制 解 调 器 中 惊 现 严 重 漏 洞   数 以 亿 计 的 调 制 解 调 器 或 将 受 影 响 美 国 加 州 “ 物 联 网 安 全 法 案 ” 开 始 实 施   饱 受 争 议 又 意 义 非 凡 ！ 美 国 拉 斯 维 加 斯 市 遭 受 网 络 攻 击     本 地 专 家 怀 疑 与 伊 朗 有 关 《 星 球 大 战 》 还 是 “ 钓 鱼 ” 大 战 ？ 影 迷 被 恶 意 软 件 骗 取 大 量 资 金
▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理