Oauth2.0协议曝漏洞 大量社交网站隐私或遭泄露
2015-02-07 11:43
676 查看
2014年是IT业界不平常的一年,XP停服、IE长老漏洞(秘狐)等等层出不穷,现在,社交网络也爆出惊天漏洞:Oauth2.0协议漏洞
继OpenSSL漏洞后,开源安全软件再曝安全漏洞。新加坡南洋理工大学研究人员Wang Jing发现,Oauth2.0授权接口的网站存“隐蔽重定向”漏洞,黑客可利用该漏洞给钓鱼网站“变装”,用知名大型网站链接引诱用户登录钓鱼网站,一旦用户访问钓鱼网站并成功登陆授权,黑客即可读取其在网站上存储的私密信息。据悉,腾讯QQ、新浪微博、Facebook、Google等国内外大量知名网站受影响,360网络攻防实验室已紧急公布了修复方案,企业和个人用户均可通过360安全卫士防范该漏洞攻击。
Oauth是一个被广泛应用的开放登陆协议,允许用户让第三方应用访问该用户在某一网站上存储的私密的信息(如照片,视频,联系人列表),而无需将用户名和密码提供给第三方应用。这次曝出的漏洞,可将Oauth2.0的使用方(第三方网站)的回跳域名劫持到恶意网站去,黑客利用XSS漏洞攻击就能随意操作被授权的账号,读取用户的隐私信息。像腾讯、新浪微博等社交网站一般对登陆回调地址没有任何限制,极易遭黑客利用。
360网络攻防实验室表示,此次曝光的Oauth2.0漏洞影响范围有限,只有存在XSS漏洞的第三方网站使用了oauth验证后才能被成功劫持。不过,想要修复该漏洞,需要Oauth的提供方和使用oauth协议登陆的网站开发者同时行动,才能避免黑客攻击。对此,360公司紧急推出了修复方案,建议Oauth服务和使用者提高警惕,尽快通过以下方法检测并及时修复漏洞:
1、 Oauth2.0提供方需要验证所有使用网站的回调地址,禁止非法参数如:多个域名、XSS攻击代码等敏感信息(修复难度较大,但是能最快控制风险),或增加回调地址签名验证,防止被篡改;
2、 Oauth使用者,需要验证检测自己的网站是否存在XSS、URL跳转等web漏洞,并立即进行修复。
此外,360网络攻防实验室还建议广大网友不要点击他人发来的带有Oauth字样的链接和网页内容,以免在各大网站修复漏洞前误入钓鱼网站,被黑客盗取登录认证信息。各大网站如果在修复漏洞过程中由任何问题,可随时私信联系@360网络攻防实验室。
喜欢社交网络的朋友们,网络隐私安全在于开发者和使用者、应用者共同呵护,请别忽视你在网络中的隐私安全
http://sec.chinabyte.com/452/12938952.shtml
继OpenSSL漏洞后,开源安全软件再曝安全漏洞。新加坡南洋理工大学研究人员Wang Jing发现,Oauth2.0授权接口的网站存“隐蔽重定向”漏洞,黑客可利用该漏洞给钓鱼网站“变装”,用知名大型网站链接引诱用户登录钓鱼网站,一旦用户访问钓鱼网站并成功登陆授权,黑客即可读取其在网站上存储的私密信息。据悉,腾讯QQ、新浪微博、Facebook、Google等国内外大量知名网站受影响,360网络攻防实验室已紧急公布了修复方案,企业和个人用户均可通过360安全卫士防范该漏洞攻击。
Oauth是一个被广泛应用的开放登陆协议,允许用户让第三方应用访问该用户在某一网站上存储的私密的信息(如照片,视频,联系人列表),而无需将用户名和密码提供给第三方应用。这次曝出的漏洞,可将Oauth2.0的使用方(第三方网站)的回跳域名劫持到恶意网站去,黑客利用XSS漏洞攻击就能随意操作被授权的账号,读取用户的隐私信息。像腾讯、新浪微博等社交网站一般对登陆回调地址没有任何限制,极易遭黑客利用。
360网络攻防实验室表示,此次曝光的Oauth2.0漏洞影响范围有限,只有存在XSS漏洞的第三方网站使用了oauth验证后才能被成功劫持。不过,想要修复该漏洞,需要Oauth的提供方和使用oauth协议登陆的网站开发者同时行动,才能避免黑客攻击。对此,360公司紧急推出了修复方案,建议Oauth服务和使用者提高警惕,尽快通过以下方法检测并及时修复漏洞:
1、 Oauth2.0提供方需要验证所有使用网站的回调地址,禁止非法参数如:多个域名、XSS攻击代码等敏感信息(修复难度较大,但是能最快控制风险),或增加回调地址签名验证,防止被篡改;
2、 Oauth使用者,需要验证检测自己的网站是否存在XSS、URL跳转等web漏洞,并立即进行修复。
此外,360网络攻防实验室还建议广大网友不要点击他人发来的带有Oauth字样的链接和网页内容,以免在各大网站修复漏洞前误入钓鱼网站,被黑客盗取登录认证信息。各大网站如果在修复漏洞过程中由任何问题,可随时私信联系@360网络攻防实验室。
喜欢社交网络的朋友们,网络隐私安全在于开发者和使用者、应用者共同呵护,请别忽视你在网络中的隐私安全
http://sec.chinabyte.com/452/12938952.shtml
相关文章推荐
- 社交网站存在七大安全风险 可能成为用户隐私泄露重灾区
- 搜狗曝重大安全漏洞 大量用户隐私被泄露(转)
- 搜狗曝重大安全漏洞 大量用户隐私被泄露
- IE曝网站鼠标跟踪漏洞 用户隐私遭威胁
- TP-LINK漏洞门被曝高危 可致用户隐私泄露
- 担忧:社交网站易泄露个人隐私 恐被国外情报机构利用
- CSDN 600万用户密码公布之后,人人网、世纪佳缘、猫扑等网站大量数据库被泄露
- SSL/TSL漏洞Freak,可致数百万苹果、安卓用户隐私泄露
- 网站漏洞泄露个人信息 危害严重
- php技术-基于oauth2.0协议实现多个网站同步登陆登出(非Ucenter)
- ecshop的48个泄露网站路径漏洞
- Struts2爆高危漏洞殃及大量网站
- Android应用现漏洞:可泄露用户社交账号
- 社交网站与网民隐私安全报告(2009)
- 腾讯QQ隐私信息泄露:可怕的qq群关系查询网站
- 当心robots.txt向黑客泄露了网站的后台和隐私
- 乌云称MIUI漏洞导致小米用户短信等隐私泄露
- 隐私泄露:查开房网站的背后
- robots.txt防止向黑客泄露网站的后台和隐私
- ImageMagick 严重漏洞导致大量网站面临被黑风险