Przejmowanie kont Google przez „odzyskiwanie”

23 listopada 2013, 14:30 | W biegu | komentarze 3
: oglądaj sekurakowe live-streamy o bezpieczeństwie IT.

Oren Hafif odnalazł i zaraportował firmie Google ciekawe podatności obecne m.in. w mechanizmie odzyskiwania konta Google. Przy ich zręcznym wykorzystaniu oraz dodaniu szczypty skutecznej socjotechniki, możliwe było przejęcie dowolnego konta Google…

Problemy z zabezpieczeniami zakwalifikowane przez internetowego giganta jako „high impact” występowały m.in. w funkcji odzyskiwania dostępu do konta Google.

Pokazowy atak opracowany przez Orena rozpoczyna się od przesłania docelowej ofierze odpowiednio spreparowanej wiadomości e-mail zachęcającej do potwierdzenia własnego konta Google.

Phishing -- pierwszy etap ataku

Phishing — pierwszy etap ataku

Zwabiony użytkownik trafia jednak na stronę kontrolowaną przez potencjalnego intruza, a ta z kolei korzystając m.in. z metody CSRF oraz podatności XSS wykonuje w jego imieniu prośbę o odzyskanie hasła oraz przechwytuje wprowadzane informacje (w tym np. obecne lub nowe hasło do konta).

Firma Google naprawiła już powyższe podatności, a odkrywcy przyznano nagrodę w wysokości 5100 USD.

Spodobał Ci się wpis? Podziel się nim ze znajomymi:



Komentarze

  1. m

    ehhh trzeba się przerzucić z codziennej pracy w firmie na prace w domu. Rajd w poszukiwaniu błędów gigantów

    Odpowiedz
  2. cichy

    Udział w bug bounty to fajna zabawa, ale nie rezygnowałbym z pracy licząc na znalezienie Remote Code Execution na google :) Jednak mimo wszystko fajnie, że w wolnym czasie, można legalnie testować aplikacje bądź co bądź sporych graczy na rynku.

    Odpowiedz
  3. …i w dodatku wszyscy na tym korzystają, nie licząc przestępców…

    Odpowiedz

Odpowiedz