IT業界資訊媒體

【又攞獎金】黑客100%成功率奪取Instagram帳戶

喺上個月,獨立研究員 Laxman Muthiyah 發現 Instagram 嘅 2FA(Two Factor Authentication) 驗證漏洞,只需 10 分鐘時間就可以將一個 Instagram 帳戶搶到手,舉報後 Facebook 俾咗 3 萬美元獎金答謝佢嘅貢獻。事隔一個月,Laxman 又再發現 Instagram 另一個漏洞,雖然比上次嘅方法難少少,但一樣可以將任何 Instagram 帳戶手到拿來,令 Facebook 再次發出一萬美元獎金,真係長賺長有!

Instagram帳戶重設漏洞

黑客高手必備素質,就係要經常保持好奇心,仲要 think out of the box ,思考喺規則下有無漏洞會出現。Laxman 喺首次發現 Instagram 重設密碼漏洞時,發現雖然設有 2FA 雙重驗證機制,但由於發出嘅 6 位數字驗證碼,只得 100 萬個組合,而且有效期長達 10 分鐘,再加上一個 IP address 可以用嚟撞 200 次密碼,所以就計算出暴力破解(brute-forcing)嘅可行方法,花 150 美元租用雲端設備創造 5000 個 IP address,就可以喺 10 分鐘內奪取任何一個 Instagram 帳戶。

漏洞經 Facebook 及 Instagram 團隊修補,但用戶用手機要求重設密碼時,就會連同手機嘅 ID 一齊發出,回傳 6 位數驗證碼時亦會確認埋係咪同一 ID,理論上穩陣好多啦。但 Laxman 又再大膽假設小心求證,測試用同一 ID 發出唔同帳戶重設密碼嘅要求,到底又得唔得呢?結果又俾佢發現原來係得㗎喎,既然 10 分鐘失效嘅規則無變,Laxman 話只要佢用同一 ID 申請重設 100 萬個帳戶密碼,咁就百分百攞晒呢 6 位數字驗證碼嘅所有組合,基本上同破解上一次嘅漏洞做法差唔多。

再次向 Facebook 舉報後,對方又再發出一萬美元獎金,同時即刻修補漏洞,而且仲喺回應嘅電郵內話 ‘We look forward to receiving more reports from you in the future!’ 添,你話幾大方呢?

資料來源:https://bit.ly/2ZuVQD7

相關文章:2FA 失效】10 分鐘搶奪 Instagram 帳戶