
居安思危,思則有備,有備無患。
五月份的時候分享過一篇文章《我是如何繞過Google和Facebook等大網站的兩步驗證的》,當時因為看到有人說Facebook賬戶被盜了,損失了幾萬美金最后不了了之的事情,代理商同學也讓大家打開雙重驗證,好像也都沒有引起足夠的重視,聽聞最近又有某家因為賬戶被盜,隨時還挺大(事情已經過去了一段時間,因為懶就沒有就這件事寫一寫東西)。
還是分享很古早的一篇文章,這邊文章來源于16年,當時就出現過類似的事情,奈何僥幸的人有很多,并不能引起人們足夠的重視,畢竟事情沒有發生在自己身上。
1
來自加利福利亞的 Gurkirat Singh曾經發現一個存在于facebook密碼重置機制上的漏洞,能夠讓黑客完全獲得受害人Facebook上的賬戶權限。
國外的一位白帽子,向眾人證明了破解一個facebook帳號的可操作性,而且只需借助一些基礎的計算機技術就可能實現。不管帳號設置多么復雜的強密碼,或者采取了怎樣額外的安全措施,都有可能被破解。這并不是危言聳聽,存在于facebook密碼重置機制上的漏洞,能夠讓黑客完全獲得受害人Facebook上的賬戶權限。包括能看到你的聊天記錄,銀行卡支付記錄等等。
2
如何破解多個Facebook帳號
這種網絡攻擊的原理很簡單,但復現起來還是有一定難度。當你試圖重置你的帳號密碼時,你的Facebook會生成一個6位的隨機驗證碼,以幫助你完成而密碼重置操作,而這樣的隨機驗證碼組合會有10^6,也就是100萬種組合。
“那么就存在這樣一種可能性,如果有100萬用戶在短時間內,均提出了重置密碼的請求,并且暫未使用6位驗證碼重置自己的密碼,那么接下來第100萬零1個用戶在發起重置密碼請求的時候,很可能會收到跟上一批次某個用戶相同的驗證碼”
借由這個猜測,Gurkirat首先通過簡單的技術手段,收集到200萬個有效的Facebook用戶ID,使用代理服務器,實現在短時間內模擬200萬個用戶同時發起密碼重置請求,目的是為了盡量窮盡6位驗證碼所有的組合情況。之后,Gurkirat使用隨機的6位驗證碼,例如666666,通過暴力破解的方式,對剛剛提出密碼重置需求的200個用戶,進行驗證,那么極有可能Gurkirat的隨機驗證碼“666666”,剛好對應到這200萬個用戶中的某一個或者某幾個,進而借由此驗證碼重置密碼,進而取得你的Facebook帳號權限。

其實早在2016年5月,Gurkirat就曾向Facebook團隊提交過此漏洞,不過當時Facebook方面認為漏洞復現成本過高,有些難以實現,直至Gurkirat利用上述流程復現了漏洞。Facebook團隊確認了該漏洞并發布了補丁,而Gurkirat本人也被授予了500$的漏洞發現獎勵。
3
如何保護的facebook帳號安全
為了避免已經被發現,和尚未被發現漏洞對用戶的帳號再次造成影響,推薦用戶使用下列方法提高賬戶安全:
添加二次驗證:如果有人使用新的設備或者在新的頁面登錄你的Facebook帳號時,你帳號所綁定的手機會收到6位驗證碼短信,為你的登錄添加了二次保障。
啟用登錄預警:當有人試圖遠程訪問你的帳號時,Facebook會以短信或者電子郵件的方式向你發送提醒,如果這可能是一條未經授權的訪問,你可以通過郵件中的鏈接,終止此次訪問。
使用密碼管理軟件:“弱口令”一直是密碼泄漏原因中最為常見的一種。?針對不同帳號,使用復雜強密碼,有利于保障你的帳號安全。而使用密碼管理軟件,既方便你記憶和使用強密碼,也有助于保護帳號安全。目前比較知名的國外密碼管理軟件有,one Password、LastPass、KeyPass等等。
4
美元挺貴的,這么大把大把的真金白銀損失了也很心疼,小心一點,麻煩一點總比丟了強。
END
做一個不斷成長的公眾號
我在這里等你,一起成長,一起學習。

我就知道你“在看”

作者:小馬哥 來源:小馬哥
本文為作者獨立觀點,不代表出海筆記立場,如若轉載請聯系原作者。