搜索

[8736] 2015-03-10_Google漏洞可伪造域名邮箱钓鱼

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-17
2015-03-10_Google漏洞可伪造域名邮箱钓鱼 G o o g l e 漏 洞 可 伪 造 域 名 邮 箱 钓 鱼 F r e e B u f   2 0 1 5 - 0 3 - 1 0 微 信 号 ： 微 信 号 ： f r e e b u f 近 日 近 日 G o o g l e   A p p s   f o r   W o r k 曝 出 一 个 漏 洞 ， 攻 击 者 可 以 利 用 该 漏 洞 伪 造 任 意 网 站 的 域 名 邮 箱 ， 冒 充 公 司 雇 员 给 受 害 人 曝 出 一 个 漏 洞 ， 攻 击 者 可 以 利 用 该 漏 洞 伪 造 任 意 网 站 的 域 名 邮 箱 ， 冒 充 公 司 雇 员 给 受 害 人 发 送 钓 鱼 邮 件 。 发 送 钓 鱼 邮 件 。 G o o g l e 的 域 名 邮 箱 服 务 的 域 名 邮 箱 服 务 如 果 你 想 弄 一 个 类 似 a d m i n @ o o x x . c o m 的 D I Y 邮 箱 来 代 替 G m a i l ， 那 么 你 就 可 以 试 试 在 G o o g l e   A p p s   f o r   W o r k 注 册 个 账 户 。 从 G o o g l e 服 务 中 获 取 一 个 自 定 义 的 域 名 电 子 邮 箱 ， 只 需 要 注 册 一 个 g m a i l 账 户 。 一 旦 创 建 账 户 以 后 ， 你 可 以 通 过 G o o g l e 应 用 提 供 的 相 应 接 口 ， 直 接 操 作 你 的 域 名 管 理 面 板 。 当 然 ， 只 有 你 从 在 G o o g l e 那 里 取 得 域 名 认 证 后 ， 才 能 正 常 使 用 域 名 邮 箱 服 务 。 伪 造 域 名 邮 箱 钓 鱼 伪 造 域 名 邮 箱 钓 鱼 安 全 研 究 人 员 P a t r i k   f e h r e n b a c h 和 B e h r o u z   s a d e g h i p o u r 发 现 ， 攻 击 者 可 以 通 过 G o o g l e 任 意 注 册 一 个 域 名 邮 箱 ， 只 要 它 没 有 在 G o o g l e 应 用 服 务 中 使 用 过 。 正 常 情 况 下 ， 在 你 域 名 认 证 完 成 之 前 ， G o o g l e 不 会 让 你 正 常 使 用 a d m i n @ o o x x . c o m 之 类 的 D I Y 邮 箱 。 但 G o o g l e 应 用 的 某 个 页 面 存 在 一 个 漏 洞 ： G o o g l e 上 注 册 的 域 名 管 理 者 无 论 是 否 进 行 了 域 名 认 证 ， 都 可 以 发 送 一 个 “ 登 录 指 令 ” （ S i g n   i n   I n s t r u c t i o n s ） 给 域 名 邮 箱 成 员 ， 比 如 i n f o @ o o x x . c o m 。 先 决 条 件 就 是 该 域 名 邮 箱 用 户 必 须 是 在 此 之 前 注 册 的 ， 构 造 的 先 决 条 件 就 是 该 域 名 邮 箱 用 户 必 须 是 在 此 之 前 注 册 的 ， 构 造 的 u r l 请 求 如 下 ： 请 求 如 下 ： h t t p s : / / a d m i n . g o o g l e . c o m / E m a i l L o g i n I n s t r u c t i o n s ? u s e r E m a i l = i n f o @ o o x x . c o m 利 用 该 特 定 的 e m a i l 接 口 ， 攻 击 者 可 以 伪 造 域 名 邮 箱 ， 发 送 任 意 包 含 恶 意 链 接 的 钓 鱼 邮 件 给 受 害 目 标 ， 然 后 骗 取 他 们 的 私 密 信 息 诸 如 密 码 、 商 业 信 息 等 等 。 如 下 图 所 示 ， 攻 击 者 成 功 冒 充 如 下 图 所 示 ， 攻 击 者 成 功 冒 充 a d m i n @ v i n e . c o m （ 现 已 被 （ 现 已 被 T w i t t e r 收 购 ） 发 送 钓 鱼 邮 件 给 受 害 人 ， 骗 取 他 们 点 进 钓 鱼 网 收 购 ） 发 送 钓 鱼 邮 件 给 受 害 人 ， 骗 取 他 们 点 进 钓 鱼 网 站 ， 提 交 站 ， 提 交 T w i t t e r 的 账 户 信 息 。 的 账 户 信 息 。
我 们 认 为 ， 我 们 认 为 ， G o o g l e 应 该 自 动 帮 助 用 户 识 别 垃 圾 邮 件 ， 或 者 是 警 示 从 伪 造 的 合 法 来 源 （ 如 应 该 自 动 帮 助 用 户 识 别 垃 圾 邮 件 ， 或 者 是 警 示 从 伪 造 的 合 法 来 源 （ 如 G o o g l e 官 方 或 者 银 行 ） 发 来 官 方 或 者 银 行 ） 发 来 的 钓 鱼 信 息 ， 但 是 他 们 没 有 做 到 这 些 。 的 钓 鱼 信 息 ， 但 是 他 们 没 有 做 到 这 些 。 黑 客 通 过 利 用 这 个 漏 洞 可 以 就 地 取 材 ， 直 接 利 用 黑 客 通 过 利 用 这 个 漏 洞 可 以 就 地 取 材 ， 直 接 利 用 G o o g l e 的 服 务 器 ， 给 受 害 人 发 送 没 有 任 何 警 示 信 息 的 钓 鱼 邮 件 。 的 服 务 器 ， 给 受 害 人 发 送 没 有 任 何 警 示 信 息 的 钓 鱼 邮 件 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理