搜索

[8168] 2014-08-04_愤怒的白帽子：被Facebook拒绝支付赏金后，白帽子编写大规模攻击工具

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2014-08-04_愤怒的白帽子：被Facebook拒绝支付赏金后，白帽子编写大规模攻击工具 愤 怒 的 白 帽 子 ： 被 F a c e b o o k 拒 绝 支 付 赏 金 后 ， 白 帽 子 编 写 大 规 模 攻 击 工 具 J o h n C h u   F r e e B u f   2 0 1 4 - 0 8 - 0 4 前 两 天 ， 国 外 媒 体 报 道 了 最 流 行 的 图 像 和 视 频 分 享 服 务 I n s t a g r a m 手 机 应 用 的 重 大 安 全 问 题 ， 攻 击 者 可 以 劫 持 用 户 帐 户 ， 可 以 获 得 私 人 照 片 ， 删 除 受 害 者 的 照 片 ， 编 辑 评 论 ， 或 者 发 布 新 照 片 。 昨 天 ， 在 伦 敦 开 发 者 史 蒂 夫 · 格 雷 厄 姆 ( S t e v i e   G r a h a m ) 发 布 了 一 款 名 为 “ I n s t a s h e e p ” 的 工 具 ， 这 个 名 字 来 自 这 个 名 字 来 自 2 0 1 0 年 一 款 叫 年 一 款 叫 做 做 “ F i r e s h e e p ” 的 的 F i r e f o x 拓 展 ， 它 可 以 用 来 窃 取 拓 展 ， 它 可 以 用 来 窃 取 F a c e b o o k 等 社 交 网 站 的 账 号 信 息 ， 该 插 件 能 在 用 于 对 与 攻 击 者 同 处 一 等 社 交 网 站 的 账 号 信 息 ， 该 插 件 能 在 用 于 对 与 攻 击 者 同 处 一 个 网 络 下 的 会 话 劫 持 。 个 网 络 下 的 会 话 劫 持 。 格 雷 厄 姆 几 年 前 发 现 了 I n s t a g r a m 的 问 题 ， 他 吃 惊 地 发 现 F a c e b o o k 也 没 有 修 复 该 问 题 。 他 声 称 F a c e b o o k 拒 绝 为 这 个 影 响 i O S 应 用 的 漏 洞 向 他 支 付 赏 金 ， 而 后 他 发 布 了 该 工 具 。 格 雷 厄 姆 在 其 推 特 上 说 ： “ 我 被 拒 绝 支 付 赏 金 。 那 么 我 的 下 一 步 是 编 写 能 够 大 规 模 劫 持 账 号 的 自 动 化 工 具 ” 他 写 道 ， “ 这 是 个 相 当 严 重 的 漏 洞 ， 请 F a c e b o o k 修 复 。 ” 有 报 道 称 社 交 网 络 巨 头 F a c e b o o k 已 知 晓 有 关 I n s t a g r a m   i O S 应 用 的 问 题 ， 并 正 在 努 力 修 复 ， F a c e b o o k 打 算 使 用 H T T P S 协 议 ， 但 仍 不 清 楚 要 花 多 久 修 复 漏 洞 。 漏 洞 可 能 使 i O S 应 用 的 用 户 受 到 中 间 人 （ M I T M ） 攻 击 ， 因 为 I n s t a g r a m 会 发 送 一 些 含 有 会 话 c o o k i e 的 未 加 密 数 据 。 然 后 ， 攻 击 者 可 以 在 其 他 系 统 上 / 浏 览 器 上 利 用 这 些 截 获 的 H T T P 会 话 c o o k i e 劫 持 受 害 者 的 I n s t a g r a m 帐 户 。 “ 我 不 认 为 这 个 漏 洞 的 使 用 障 碍 很 高 。 只 需 要 足 够 水 平 的 技 术 人 员 就 能 够 利 用 ， 漏 洞 利 用 相 当 简 单 ， 甚 至 是 脚 本 小 子 只 需 要 足 够 水 平 的 技 术 人 员 就 能 够 利 用 ， 漏 洞 利 用 相 当 简 单 ， 甚 至 是 脚 本 小 子 也 可 以 使 用 。 也 可 以 使 用 。 此 刻 潘 多 拉 的 盒 子 已 经 被 炸 得 四 分 五 裂 ！ ” 格 雷 厄 姆 在 Y C o m b i n a t o r 写 道 。 I n s t a g r a m 联 合 创 始 人 M i k e   K r i e g e r （ 迈 克 · 克 里 格 ） 已 经 通 过 相 同 的 Y C o m b i n a t o r 网 站 回 应 了 这 个 问 题 ， 并 表 示 ， “ 我 们 一 直 在 稳 步 增 加 对 于 H T T P S 协 议 的 支 持 ， 例 如 我 们 在 2 0 1 3 年 底 推 出 的 I n s t a g r a m   D i r e c t ， 全 部 使 用 H T T P S 进 行 会 话 。 对 于 应 用 程 序 ， 尤 其 是 对 于 延 迟 敏 感 的 m a i n   f e e d 功 能 和 其 它 重 要 的 浏 览 体 验 ， 我 们 正 在 积 极 努 力 推 出 了 H T T P S ， 同 时 要 确 保 不 会 损 失 性 能 ， 稳 定 性 和 用 户 体 验 。 这 是 我 们 希 望 能 够 尽 快 完 成 的 一 个 项 目 ， 我 们 将 在 开 发 博 客 上 分 享 我 们 的 经 验 ， 以 便 让 其 他 公 司 借 鉴 一 下 。 ”
附 附 M a c   O S   X 下 的 工 具 使 用 步 骤 ： 下 的 工 具 使 用 步 骤 ： 接 入 一 个 开 放 的 或 者 W E P 加 密 的 W i f i s u d o   t c p d u m p   - I n   - i   e n 0   - s   2 0 4 8   - A   d s t   i . i n s t a g r a m . c o m 等 待 同 一 网 络 的 用 户 使 用 I n s t a g r a m   i O S 应 用 从 输 出 的 结 果 中 提 取 c o o k i e   r e q u e s t   h e a d e r ， 利 用 c o o k i e 参 数 调 用 A P I ， 使 用 哪 怕 是 h t t p s 的 功 能 ， 例 子 中 使 用 的 是 D i r e c t   M e s s a g e 功 能 。 c u r l   - H   ' U s e r - A g e n t :   I n s t a g r a m   6 . 0 . 4   ( i P h o n e 6 , 2 ;   i P h o n e   O S   7 _ 1 _ 1 ;   e n _ G B ;   e n - G B )   A p p l e W e b K i t / 4 2 0 + '     - H   ' C o o k i e :   s e s s i o n i d = R E D A C T E D '       h t t p s : / / i . i n s t a g r a m . c o m / a p i / v 1 / d i r e c t _ s h a r e / i n b o x / ` [ V i a   T H N   &   s t e v e g r a h a m   g i t h u b ， J o h n C h u   翻 译 整 理 ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理