Przejmowanie kont Google przez „odzyskiwanie”

Oren Hafif odnalazł i zaraportował firmie Google ciekawe podatności obecne m.in. w mechanizmie odzyskiwania konta Google. Przy ich zręcznym wykorzystaniu oraz dodaniu szczypty skutecznej socjotechniki, możliwe było przejęcie dowolnego konta Google…

Problemy z zabezpieczeniami zakwalifikowane przez internetowego giganta jako „high impact” występowały m.in. w funkcji odzyskiwania dostępu do konta Google.

Pokazowy atak opracowany przez Orena rozpoczyna się od przesłania docelowej ofierze odpowiednio spreparowanej wiadomości e-mail zachęcającej do potwierdzenia własnego konta Google.

Phishing — pierwszy etap ataku

Zwabiony użytkownik trafia jednak na stronę kontrolowaną przez potencjalnego intruza, a ta z kolei korzystając m.in. z metody CSRF oraz podatności XSS wykonuje w jego imieniu prośbę o odzyskanie hasła oraz przechwytuje wprowadzane informacje (w tym np. obecne lub nowe hasło do konta).

Firma Google naprawiła już powyższe podatności, a odkrywcy przyznano nagrodę w wysokości 5100 USD.