來(lái)自加利福利亞的 Gurkirat Singh最近發(fā)現(xiàn)一個(gè)存在于facebook密碼重置機(jī)制上的漏洞，能夠讓黑客完全獲得受害人Facebook上的賬戶權(quán)限攒菠。
最近國(guó)外的一位白帽子，向眾人證明了破解一個(gè)facebook帳號(hào)的可操作性栅葡，而且只需借助一些基礎(chǔ)的計(jì)算機(jī)技術(shù)就可能實(shí)現(xiàn)频祝。不管的帳號(hào)設(shè)置多么復(fù)雜的強(qiáng)密碼，或者采取了怎樣額外的安全措施步悠，都有可能被破解签杈。這并不是危言聳聽(tīng)，來(lái)自加利福利亞的 Gurkirat Singh最近發(fā)現(xiàn)一個(gè)存在于facebook密碼重置機(jī)制上的漏洞鼎兽，能夠讓黑客完全獲得受害人Facebook上的賬戶權(quán)限答姥。包括能看到你的聊天記錄铣除，銀行卡支付記錄等等。
如何破解多個(gè)Facebook帳號(hào)
這種網(wǎng)絡(luò)攻擊的原理很簡(jiǎn)單踢涌，但復(fù)現(xiàn)起來(lái)還是有一定難度通孽。當(dāng)你試圖重置你的帳號(hào)密碼時(shí)，你的Facebook會(huì)生成一個(gè)6位的隨機(jī)驗(yàn)證碼睁壁，以幫助你完成而密碼重置操作背苦，而這樣的隨機(jī)驗(yàn)證碼組合會(huì)有10^6，也就是100萬(wàn)種組合潘明。
“那么就存在這樣一種可能性行剂，如果有100萬(wàn)用戶在短時(shí)間內(nèi)，均提出了重置密碼的請(qǐng)求钳降，并且暫未使用6位驗(yàn)證碼重置自己的密碼厚宰，那么接下來(lái)第100萬(wàn)零1個(gè)用戶在發(fā)起重置密碼請(qǐng)求的時(shí)候，很可能會(huì)收到跟上一批次某個(gè)用戶相同的驗(yàn)證碼”
借由這個(gè)猜測(cè)遂填，Gurkirat首先通過(guò)簡(jiǎn)單的技術(shù)手段铲觉，收集到200萬(wàn)個(gè)有效的Facebook用戶ID，使用代理服務(wù)器吓坚，實(shí)現(xiàn)在短時(shí)間內(nèi)模擬200萬(wàn)個(gè)用戶同時(shí)發(fā)起密碼重置請(qǐng)求撵幽，目的是為了盡量窮盡6位驗(yàn)證碼所有的組合情況。之后礁击，Gurkirat使用隨機(jī)的6位驗(yàn)證碼盐杂，例如666666，通過(guò)暴力破解的方式哆窿，對(duì)剛剛提出密碼重置需求的200個(gè)用戶链烈，進(jìn)行驗(yàn)證，那么極有可能Gurkirat的隨機(jī)驗(yàn)證碼“666666”挚躯，剛好對(duì)應(yīng)到這200萬(wàn)個(gè)用戶中的某一個(gè)或者某幾個(gè)强衡，進(jìn)而借由此驗(yàn)證碼重置密碼，進(jìn)而取得你的Facebook帳號(hào)權(quán)限码荔。
其實(shí)早在2016年5月食侮，Gurkirat就曾向Facebook團(tuán)隊(duì)提交過(guò)此漏洞，不過(guò)當(dāng)時(shí)Facebook方面認(rèn)為漏洞復(fù)現(xiàn)成本過(guò)高目胡，有些難以實(shí)現(xiàn)锯七，直至最近，Gurkirat利用上述流程復(fù)現(xiàn)了漏洞誉己。Facebook團(tuán)隊(duì)確認(rèn)了該漏洞并發(fā)布了補(bǔ)丁眉尸，而Gurkirat本人也被授予了500$的漏洞發(fā)現(xiàn)獎(jiǎng)勵(lì)。
如何保護(hù)的facebook帳號(hào)安全
為了避免已經(jīng)被發(fā)現(xiàn)，和尚未被發(fā)現(xiàn)漏洞對(duì)用戶的帳號(hào)再次造成影響噪猾，推薦用戶使用下列方法提高賬戶安全：
添加二次驗(yàn)證：如果有人使用新的設(shè)備或者在新的頁(yè)面登錄你的Facebook帳號(hào)時(shí)霉祸，你帳號(hào)所綁定的手機(jī)會(huì)收到6位驗(yàn)證碼短信，為你的登錄添加了二次保障袱蜡。
啟用登錄預(yù)警：當(dāng)有人試圖遠(yuǎn)程訪問(wèn)你的帳號(hào)時(shí)丝蹭，F(xiàn)acebook會(huì)以短信或者電子郵件的方式向你發(fā)送提醒，如果這可能是一條未經(jīng)授權(quán)的訪問(wèn)坪蚁，你可以通過(guò)郵件中的鏈接奔穿，終止此次訪問(wèn)。
使用密碼管理軟件：“弱口令”一直是密碼泄漏原因中最為常見(jiàn)的一種敏晤。?針對(duì)不同帳號(hào)贱田，使用復(fù)雜強(qiáng)密碼，有利于保障你的帳號(hào)安全嘴脾。而使用密碼管理軟件恤批，既方便你記憶和使用強(qiáng)密碼亲善，也有助于保護(hù)帳號(hào)安全。目前比較知名的國(guó)外密碼管理軟件有恬口，one Password求摇、LastPass娘摔、KeyPass等等瓷叫，而國(guó)內(nèi)也有洋蔥這樣免費(fèi)的密碼管理軟件独榴。
