Windows

Có thể bị lạm dụng với các tài khoản chiếm quyền điều khiển, nhà nghiên cứu cho biết

1 - Intro and accessing Strava API with Postman

1 - Intro and accessing Strava API with Postman
Anonim

Twitter cho phép ứng dụng chỉ định URL gọi lại tùy chỉnh nơi người dùng sẽ được chuyển hướng sau khi cấp cho những ứng dụng đó quyền truy cập vào tài khoản của họ thông qua trang ủy quyền trên trang web của Twitter. > [Đọc thêm: Cách xóa phần mềm độc hại khỏi PC Windows]

Seriot tìm cách tạo các liên kết đặc biệt, khi được người dùng nhấp vào, sẽ mở các trang ủy quyền ứng dụng Twitter cho các khách hàng phổ biến như TweetDeck. Tuy nhiên, các yêu cầu đó sẽ chỉ định máy chủ của kẻ tấn công là các URL gọi lại, buộc các trình duyệt của người dùng gửi các mã thông báo truy cập Twitter của họ cho kẻ tấn công. Một mật khẩu. Kẻ tấn công có thể sử dụng các thẻ như vậy để đăng tweet mới thay mặt cho người dùng bị xâm nhập, đọc tin nhắn riêng của họ, sửa đổi vị trí được hiển thị trong tweet của họ và hơn thế nữa.

Bản trình bày về cơ bản bao hàm các tác động bảo mật cho phép gọi lại tùy chỉnh và mô tả Phương pháp sử dụng tính năng này để giả mạo là khách hàng Twitter hợp pháp và đáng tin cậy để ăn cắp mã thông báo truy cập người dùng và các tài khoản chiếm quyền điều khiển người dùng. hoặc tổ chức tin tức đề xuất, ví dụ, đó là một liên kết để theo dõi ai đó trên Twitter.

Khi nhấp vào liên kết, mục tiêu sẽ thấy trang Twitter được bảo vệ bằng SSL yêu cầu anh cho phép TweetDeck, Twitter cho iOS hoặc một số khác khách hàng Twitter phổ biến, để truy cập tài khoản của anh ấy. Nếu mục tiêu đã sử dụng ứng dụng khách mạo danh, anh ấy có thể tin rằng ủy quyền đã cấp trước đó đã hết hạn và họ cần ủy quyền lại ứng dụng.

Nhấp vào nút “ủy quyền” sẽ buộc trình duyệt của người dùng gửi mã thông báo truy cập đến máy chủ của kẻ tấn công, sau đó sẽ chuyển hướng người dùng trở lại trang web Twitter. Người dùng sẽ không thấy bất kỳ dấu hiệu gì xấu xảy ra, Seriot nói.

Để thực hiện một cuộc tấn công như vậy và tạo ra các liên kết đặc biệt ngay từ đầu, kẻ tấn công sẽ cần biết mã thông báo API Twitter cho các ứng dụng mong muốn mạo danh. Các nhà phát triển đã xây dựng một thư viện OAuth mã nguồn mở cho Mac OS X có thể được sử dụng để tương tác với Twitter API và tạo ra các liên kết ủy quyền với các ứng dụng này. URL gọi lại giả mạo. Tuy nhiên, thư viện, được gọi là STTwitter, được xây dựng cho mục đích hợp pháp và dự định bổ sung hỗ trợ Twitter cho Adium, một ứng dụng trò chuyện đa giao thức phổ biến cho Mac OS X.

Theo Seriot, Twitter có thể ngăn chặn các cuộc tấn công như vậy vô hiệu hóa chức năng gọi lại từ việc triển khai OAuth của nó. Tuy nhiên, anh ta không tin rằng công ty sẽ làm điều này, bởi vì nó là một tính năng hợp pháp được sử dụng bởi một số khách hàng.

Twitter đã không trả lời ngay lập tức một yêu cầu bình luận được gửi vào thứ Năm.