搜索

[8783] 2015-03-24_小漏洞大影响：来看看希尔顿酒店官网的CSRF漏洞

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-17
2015-03-24_小漏洞大影响：来看看希尔顿酒店官网的CSRF漏洞 小 漏 洞 大 影 响 ： 来 看 看 希 尔 顿 酒 店 官 网 的 C S R F 漏 洞 F r e e B u f   2 0 1 5 - 0 3 - 2 4 微 信 号 ： 微 信 号 ： f r e e b u f 世 界 级 连 锁 酒 店 世 界 级 连 锁 酒 店 — — 希 尔 顿 酒 店 官 网 上 曝 希 尔 顿 酒 店 官 网 上 曝 C S R F （ 跨 站 请 求 伪 造 ） 漏 洞 ， 虽 然 （ 跨 站 请 求 伪 造 ） 漏 洞 ， 虽 然 C S R F 漏 洞 在 大 多 数 安 全 研 究 者 眼 中 算 漏 洞 在 大 多 数 安 全 研 究 者 眼 中 算 不 上 不 上 “ 高 危 高 危 ” ， 但 这 枚 漏 洞 的 影 响 可 并 不 小 。 ， 但 这 枚 漏 洞 的 影 响 可 并 不 小 。 更 改 密 码 即 可 获 得 更 改 密 码 即 可 获 得 1 0 0 0 个 积 分 个 积 分 世 界 级 连 锁 酒 店 大 亨 — — 希 尔 顿 近 期 推 出 了 一 项 活 动 — — 为 了 鼓 励 用 户 勤 换 密 码 提 高 安 全 意 识 ， 在 4 月 1 日 前 更 改 账 号 密 码 ， 就 能 获 得 1 0 0 0 个 免 费 积 分 。 然 而 非 常 讽 刺 的 是 ， 安 全 研 究 人 员 在 这 个 推 广 功 能 上 发 现 了 一 枚 C S R F 漏 洞 — — 攻 击 者 只 要 知 道 或 者 猜 到 了 荣 誉 会 员 9 位 数 的 会 员 卡 号 就 能 任 意 劫 持 其 账 号 。 该 漏 洞 是 由 安 全 咨 询 与 测 试 公 司 B a n c s e c 的 技 术 咨 询 员 B r a n d o n   P o t t e r 和 J B   S n y d e r 发 现 。 通 过 通 过 C S R F 漏 洞 劫 持 受 害 者 账 号 之 后 ， 攻 击 者 能 看 到 用 户 的 所 有 信 息 ， 还 可 更 改 其 信 息 ： 包 括 更 改 账 号 密 码 ， 预 览 漏 洞 劫 持 受 害 者 账 号 之 后 ， 攻 击 者 能 看 到 用 户 的 所 有 信 息 ， 还 可 更 改 其 信 息 ： 包 括 更 改 账 号 密 码 ， 预 览 之 前 浏 览 过 的 网 页 ， 兑 换 希 尔 顿 积 分 ， 预 定 酒 店 ， 将 积 分 兑 现 到 一 个 银 行 卡 上 或 者 转 到 另 一 个 荣 誉 会 员 账 号 上 等 。 之 前 浏 览 过 的 网 页 ， 兑 换 希 尔 顿 积 分 ， 预 定 酒 店 ， 将 积 分 兑 现 到 一 个 银 行 卡 上 或 者 转 到 另 一 个 荣 誉 会 员 账 号 上 等 。 该 漏 洞 还 会 泄 露 用 户 的 邮 箱 账 号 、 家 庭 住 址 ， 甚 至 是 信 用 卡 的 后 该 漏 洞 还 会 泄 露 用 户 的 邮 箱 账 号 、 家 庭 住 址 ， 甚 至 是 信 用 卡 的 后 4 位 数 。 位 数 。 该 C S R F 漏 洞 被 标 记 为 危 险 的 另 一 个 原 因 ， 是 因 为 当 用 户 在 网 站 修 改 密 码 时 ， 已 登 录 的 用 户 无 需 重 新 输 入 他 们 原 来 的 密 码 。 研 究 人 员 用 自 己 的 会 员 卡 演 示 漏 洞 研 究 人 员 用 自 己 的 会 员 卡 演 示 漏 洞 K r e b s 只 是 给 了 P o t t e r 和 S n y d e r 他 的 账 号 ， 几 秒 钟 之 后 ， 他 们 就 登 进 了 K r e b s 的 账 号 ， 并 截 下 了 证 明 图 片 。 几 小 时 之 后 ， 他 们 就 把 这 一 问 题 反 馈 给 了 希 尔 顿 公 司 ， 公 司 当 即 停 止 了 用 户 更 改 密 码 的 功 能 。
攻 击 者 之 所 以 可 以 很 快 的 枚 举 出 荣 誉 会 员 的 会 员 卡 号 ， 是 因 为 网 站 上 有 个 攻 击 者 之 所 以 可 以 很 快 的 枚 举 出 荣 誉 会 员 的 会 员 卡 号 ， 是 因 为 网 站 上 有 个 P I N 码 重 置 页 面 ， 它 会 自 动 告 诉 你 任 意 码 重 置 页 面 ， 它 会 自 动 告 诉 你 任 意 9 位 位 数 的 账 号 是 否 是 有 效 账 号 ， 这 就 大 大 减 轻 了 工 作 量 。 如 果 没 有 它 的 帮 助 ， 这 上 亿 种 数 字 组 合 不 知 道 要 测 试 多 久 呢 。 数 的 账 号 是 否 是 有 效 账 号 ， 这 就 大 大 减 轻 了 工 作 量 。 如 果 没 有 它 的 帮 助 ， 这 上 亿 种 数 字 组 合 不 知 道 要 测 试 多 久 呢 。 S n y d e r 称 该 问 题 源 于 一 个 普 通 的 w e b 应 用 程 序 漏 洞 — — C S R F （ 跨 站 请 求 伪 造 ） 漏 洞 ， 当 已 登 录 希 尔 顿 酒 店 的 用 户 访 问 包 含 恶 意 代 码 的 w e b 网 站 、 邮 件 、 及 时 消 息 ， 那 么 就 会 导 致 上 面 所 说 的 一 系 列 的 攻 击 行 为 。 目 前 希 尔 顿 已 经 修 复 了 这 一 漏 洞 ， 并 规 定 用 户 不 可 使 用 目 前 希 尔 顿 已 经 修 复 了 这 一 漏 洞 ， 并 规 定 用 户 不 可 使 用 P I N 码 作 为 密 码 了 。 网 站 要 求 用 户 在 设 置 密 码 时 要 至 少 有 码 作 为 密 码 了 。 网 站 要 求 用 户 在 设 置 密 码 时 要 至 少 有 8 字 字 节 的 长 度 ， 并 且 要 至 少 包 括 一 个 大 写 字 母 、 一 个 数 字 或 者 特 殊 字 符 。 节 的 长 度 ， 并 且 要 至 少 包 括 一 个 大 写 字 母 、 一 个 数 字 或 者 特 殊 字 符 。 参 考 来 源 k r e b s o n s e c u r i t y ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理