织梦CMS - 轻松建站从此开始!

2019年合法代怀孕_中国代怀孕多少钱

当前位置: 中国代怀孕多少钱 > 怀孕 >

微软登录系统出现漏洞,Office帐户安全存在风险

时间:2019-06-22 11:18来源:未知 作者:admin 点击:
【12月12日报代怀孕多少钱道(编译:福尔摩望)据悉,微软的登录系统出现了一连串的链接漏洞错误,黑客只需要欺骗用户点击链接,就可以轻松访问用户的微软帐户。来自印度的漏洞

【12月12日报代怀孕多少钱道(编译:福尔摩望)据悉,微软的登录系统出现了一连串的链接漏洞错误,黑客只需要欺骗用户点击链接,就可以轻松访问用户的微软帐户。来自印度的漏洞猎手Sahad Nk发现微软的子域“success.office.com”没有被正确配置。他使用CNAME记录——一个用于将一个域链接到另一个域的规范记录——将未配置的子域指向他自己的Azure实例。通过这一过程,他可以控制子域名,以及发送给它的任何数据。这本身并不是什么大问题,但Nk还发现,当用户通过微软的Live登录系统登录后,可以欺骗Microsoft Office、Store和Sway应用,将其经过身份验证的登录令牌发送到他新控制的域名中。这是因为易受攻击的应用使用了通配符正则表达式,可以允许所有office.com——包括他新控制的子域名——被信任。例如,一旦受害者点击电子邮件中发送的特制链接,用户将使用他们的用户名和密码通过微软的登录系统登录,如果用户设置了双重认证,则会创建一个帐户访问令牌,让用户无需一次又一次地输入密码即可登录。获取帐户访问令牌相当于拥有用户的凭据,并允许攻击者无缝地侵入该用户的帐户,通常也不会发出任何警报或触发任何警告。(它们与今年早些时候让超过3000万Facebook帐户面临风险的帐户令牌属于同一类。)但恶意URL则会指示微软的登录系统将帐户令牌传递给Nk的受控子域,如果该子域受到恶意攻击者的控制,可能会使无数帐户面临风险。最糟糕的是,恶意URL看起来是合法的,因为用户仍然通过微软的系统登录,并且URL中的“wreply”参数看起来也并不可疑。换句话说,任何人的Office帐户,甚至企业和公司帐户,包括他们的电子邮件、文档和其他文件,都可以被恶意攻击者轻松访问,而且几乎不可能从合法用户中辨别出来。在Paulos Yibelo的帮助下,Nk向微软报告了这个漏洞,微软迅速修复了这一问题。中国2019年合法代怀孕“微软安全响应中心在2018年11月完结了此案,”微软发言人在一封电子邮件中证实了这一消息。他解释说,微软通过删除中国正规代怀孕指向NK的Azure实例的CNAME记录,修复了该错误。微软也向Nk支付了巨额奖金。

(责任编辑:admin)
顶一下
(0)
0%
踩一下
(0)
0%
------分隔线----------------------------
发表评论
请自觉遵守互联网相关的政策法规,严禁发布色情、暴力、反动的言论。
评价:
栏目列表
推荐内容