搜索

[10029] 2016-04-21_短网址服务可能泄露你的敏感信息

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2016-04-21_短网址服务可能泄露你的敏感信息 短 网 址 服 务 可 能 泄 露 你 的 敏 感 信 息 d a w n e r   F r e e B u f   2 0 1 6 - 0 4 - 2 1 来 自 来 自 C o r n e l l   T e c h 的 安 全 研 究 员 的 安 全 研 究 员 V i t a l y   S h m a t i k o v 和 和 M a r t i n   G e o r g i e v 发 现 ， 如 果 发 现 ， 如 果 w e b 短 网 址 服 务 采 用 了 可 预 测 性 的 操 作 ， 短 网 址 服 务 采 用 了 可 预 测 性 的 操 作 ， 就 可 能 会 泄 露 网 站 的 敏 感 信 息 。 就 可 能 会 泄 露 网 站 的 敏 感 信 息 。 专 家 们 分 析 了 主 流 的 短 网 址 服 务 ， 其 中 包 括 G o o g l e 、 B i t . l y 和 微 软 。 他 们 发 现 ， 通 过 枚 举 短 网 址 ， 可 以 发 现 网 络 上 的 敏 感 信 息 。 比 如 ， 研 究 人 员 就 发 现 了 指 向 微 软 O n e D r i v e 文 件 夹 （ 未 经 过 加 密 ） 的 短 网 址 。 S h m a t i k o v 在 一 篇 博 文 中 提 到 ： “ 由 b i t . l y 和 g o o . g l 以 及 类 似 的 服 务 ， 因 为 太 短 可 以 被 暴 力 枚 举 和 扫 描 。 我 们 的 扫 描 结 果 发 现 了 一 大 堆 微 软 O n e D r i v e 账 户 ， 以 及 里 面 的 私 人 文 档 。 它 们 中 的 许 多 都 处 于 开 放 状 态 ， 任 何 人 都 可 以 向 其 中 写 入 恶 意 软 件 ， 用 户 设 备 访 问 之 后 就 会 自 动 下 载 。 ” 专 家 们 还 发 现 ， 短 网 址 服 务 还 可 能 泄 露 用 户 的 个 人 信 息 。 我 们 还 发 现 了 许 多 能 泄 露 个 人 敏 感 信 息 的 行 车 路 线 ， 比 如 用 户 去 的 那 些 医 疗 设 施 、 监 狱 和 成 人 场 所 。 为 此 ， 他 们 写 出 了 一 篇 题 为 《 六 字 符 分 析 ： 短 网 址 对 云 服 务 之 害 》 的 文 章 。   谷 歌 和 微 软 将 联 手 推 出 新 的 更 安 全 的 短 网 址 服 务 ， 当 然 旧 的 服 务 仍 然 存 在 漏 洞 。 研 究 人 员 解 释 ， 短 网 址 服 务 通 过 域 名 与 一 个 五 到 七 位 的 字 符 串 组 成 ， 但 它 的 简 洁 性 和 产 生 机 制 可 以 让 攻 击 者 进 行 爆 破 枚 举 攻 击 。 S h m a t i k o v 解 释 道 ： “ 那 些 t o k e n 字 符 串 非 常 短 ， 所 以 u r l 是 可 以 被 爆 破 枚 举 的 。 实 际 上 ， 原 本 的 长 u r l 是 长 期 公 开 存 在 的 。 任 何 人 只 要 花 费 一 点 耐 心 ， 借 助 一 些 机 器 的 运 算 就 可 以 发 现 它 们 的 踪 迹 。 ” 大 概 枚 举 扫 描 一 亿 的 u r l 后 ， 专 家 发 现 超 过 1 1 0 万 公 开 的 O n e D r i v e 文 件 ， 其 中 包 括 普 通 和 可 执 行 文 件 。 在 我 们 扫 描 的 一 亿 b i t . l y 短 网 址 u r l 样 本 中 ， 随 机 选 择 了 6 位 字 符 串 作 为 t o k e n 的 u r l 。 其 中 ， 有 4 2 % 是 指 向 有 效 存 在 的 u r l 地 址 的 ， 而 有 1 9 5 2 4 的 u r l 指 向 了 O n e D r i v e   /   S k y D r i v e 文 化 和 文 件 夹 ， 并 且 其 中 大 部 分 都 是 可 用 的 。 然 而 ， 这 仅 仅 是 个 开 始 。
在 对 谷 歌 短 网 址 的 随 机 枚 举 扫 描 过 程 中 ， 专 家 们 发 现 了 在 2 3 9 6 5 7 1 8 个 链 接 中 ， 有 1 0 % 包 含 行 车 目 的 地 的 敏 感 信 息 ， 比 如 治 病 的 医 院 、 打 胎 的 诊 所 ， 甚 至 脱 衣 舞 俱 乐 部 。 这 表 明 ， 短 网 址 服 务 可 能 会 暴 露 敏 感 内 容 给 第 三 方 ， 专 家 建 议 采 取 措 施 来 限 制 自 动 枚 举 扫 描 的 行 为 。 专 家 提 示 ： 专 家 提 示 ： “ 使 用 你 自 己 的 解 析 器 和 t o k e n ， 而 不 是 去 使 用 b i t . l y 。 并 且 ， 我 们 需 要 检 测 并 限 制 相 应 的 枚 举 扫 描 行 为 ， 考 虑 使 用 验 证 码 等 技 术 来 阻 止 机 器 扫 描 。 最 后 ， 设 计 一 个 更 好 的 a p i ， 使 得 某 个 特 定 的 u r l 不 会 泄 露 用 户 分 享 的 其 他 u r l 。 ”     * 参 考 来 源 ： S A ， F B 小 编 d a w n e r 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）     阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理