侵权投诉
订阅
纠错
加入自媒体

微软登录系统出现漏洞,Office帐户安全存在风险

2018-12-12 14:22
来源: 猎云网

据悉,微软的登录系统出现了一连串的链接漏洞错误,黑客只需要欺骗用户点击链接,就可以轻松访问用户的微软帐户。

来自印度的漏洞猎手Sahad Nk发现微软的子域“success.office.com”没有被正确配置。他使用CNAME记录——一个用于将一个域链接到另一个域的规范记录——将未配置的子域指向他自己的Azure实例。通过这一过程,他可以控制子域名,以及发送给它的任何数据。

这本身并不是什么大问题,但Nk还发现,当用户通过微软的Live登录系统登录后,可以欺骗Microsoft Office、Store和Sway应用,将其经过身份验证的登录令牌发送到他新控制的域名中。

这是因为易受攻击的应用使用了通配符正则表达式,可以允许所有office.com——包括他新控制的子域名——被信任。

例如,一旦受害者点击电子邮件中发送的特制链接,用户将使用他们的用户名和密码通过微软的登录系统登录,如果用户设置了双重认证,则会创建一个帐户访问令牌,让用户无需一次又一次地输入密码即可登录。获取帐户访问令牌相当于拥有用户的凭据,并允许攻击者无缝地侵入该用户的帐户,通常也不会发出任何警报或触发任何警告。(它们与今年早些时候让超过3000万Facebook帐户面临风险的帐户令牌属于同一类。)

但恶意URL则会指示微软的登录系统将帐户令牌传递给Nk的受控子域,如果该子域受到恶意攻击者的控制,可能会使无数帐户面临风险。最糟糕的是,恶意URL看起来是合法的,因为用户仍然通过微软的系统登录,并且URL中的“wreply”参数看起来也并不可疑。

换句话说,任何人的Office帐户,甚至企业和公司帐户,包括他们的电子邮件、文档和其他文件,都可以被恶意攻击者轻松访问,而且几乎不可能从合法用户中辨别出来。

在Paulos Yibelo的帮助下,Nk向微软报告了这个漏洞,微软迅速修复了这一问题。

“微软安全响应中心在2018年11月完结了此案。”微软发言人在一封电子邮件中证实了这一消息。他解释说,微软通过删除指向NK的Azure实例的CNAME记录,修复了该错误。

微软也向Nk支付了巨额奖金。

声明: 本文系OFweek根据授权转载自其它媒体或授权刊载,目的在于信息传递,并不代表本站赞同其观点和对其真实性负责,如有新闻稿件和图片作品的内容、版权以及其它问题的,请联系我们。

发表评论

0条评论,0人参与

请输入评论内容...

请输入评论/评论长度6~500个字

您提交的评论过于频繁,请输入验证码继续

暂无评论

暂无评论

文章纠错
x
*文字标题:
*纠错内容:
联系邮箱:
*验 证 码:

粤公网安备 44030502002758号