利用谷歌、微軟和Instagram的在線電話驗證漏洞賺取數(shù)百萬美元

責(zé)任編輯:editor005

作者:nana

2016-07-21 14:38:25

摘自:安全牛

在線電話的用戶經(jīng)常難以分辨哪些號碼是要收費的,一位研究人員便從中發(fā)現(xiàn),可利用谷歌、微軟和Instagram的在線電話驗證系統(tǒng)賺取百萬美元。

在線電話的用戶經(jīng)常難以分辨哪些號碼是要收費的,一位研究人員便從中發(fā)現(xiàn),可利用谷歌、微軟和Instagram的在線電話驗證系統(tǒng)賺取百萬美元。

很多網(wǎng)站和手機(jī)應(yīng)用都允許用戶將手機(jī)號關(guān)聯(lián)到賬號上。這可以用作雙因子身份驗證或賬號恢復(fù)和驗證的措施。很多此類系統(tǒng)都依賴于通過手機(jī)短信發(fā)送的驗證碼,但也提供呼叫用戶提供驗證碼的方式。

去年,名為阿恩·斯文頓的比利時IT安全顧問開始好奇,此類系統(tǒng)會不會測試用戶輸入的號碼是否附帶額外收費呢?于是,他對幾個流行服務(wù)進(jìn)行了測試。

他在9月先對Instagram進(jìn)行了測試,很快便發(fā)現(xiàn),如果通過短信發(fā)送的Instagram安全驗證碼沒在3分鐘內(nèi)輸入的話,該服務(wù)便會撥打用戶提供的收費號碼。他還發(fā)現(xiàn)了觸發(fā)此類Instagram呼叫的方法。Instagram會通過一個API(應(yīng)用編程接口)每隔30秒從加州拔出持續(xù)17秒的呼叫。

斯文頓設(shè)置了一個每分鐘收費0.06英鎊的號碼,通過濫用Instagram的系統(tǒng),成功在17分鐘內(nèi)轉(zhuǎn)到了1英鎊。通過注冊多個號碼和Instagram賬號,還可自動化該攻擊方式,每天賺取數(shù)千英鎊。

擁有的Instagram的Facebook起先還告訴斯文頓,說這不是漏洞,只是Instagram服務(wù)方式的一部分。該公司稱,該服務(wù)會監(jiān)測并封鎖濫用嘗試,這些混過監(jiān)測的呼叫是可承受的風(fēng)險。

之后,F(xiàn)acebook對某些呼叫限制進(jìn)行了微調(diào),修改了其帶外呼叫服務(wù),并決定獎勵斯文頓2000美元的漏洞獎金。

2月,該研究員向谷歌通報了類似的攻擊。谷歌基于電話的雙因子驗證服務(wù)同樣對濫用毫不設(shè)防,盡管濫用方法稍微有點麻煩。

斯文頓曾計算過,僅僅1個谷歌賬號+1個收費號碼,他就能在1天內(nèi)偷走12歐元。注冊多個賬號和多個收費號碼,自然可以倍增收入。

谷歌響應(yīng)稱,該漏洞緩解措施是存在的,只是因為電信業(yè)工作方式的關(guān)系,不可能全面封禁此類濫用。

微軟的 Office 365 試用注冊也要求電話驗證,這是最容易被濫用的。斯文頓找到了兩種方法來規(guī)避網(wǎng)站現(xiàn)有的呼叫頻率限制,理論上可以每天向同一個收費號碼撥打1300萬次以上。

另外,該服務(wù)還允許并發(fā)呼叫,每通呼叫持續(xù)23秒鐘。只需要一個每分鐘收費0.15歐的號碼,斯文頓便能在1分鐘之內(nèi)賺到1歐。

微軟稱,該漏洞實際影響到的,是公司呼叫服務(wù)使用的第三方合作伙伴。盡管如此,該廠商還是決定獎勵500美元,并努力修復(fù)該問題。

雖然Instagram、谷歌和微軟都消解了此類攻擊,其他在線服務(wù)和應(yīng)用仍有許多存在此類漏洞。斯文頓的研究已于7月15日發(fā)布了博客文章里,重點指出,無論公司還是消費者,都非常難以區(qū)分普通號碼和收費號碼。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號-6京公網(wǎng)安備 11010502049343號