網絡公司急于填補嚴重的跨域漏洞-灰鴿子使用教程,遠控灰鴿子

admin

網絡公司急于填補嚴重的跨域漏洞-灰鴿子使用教程,遠控灰鴿子

谷歌和其他大型屬性脆弱。灰鴿子教程
出現了一個嚴重的弱點,使用Adobe沖擊波Flash(SWF)文件轉換成漏出瀏覽器會話的數據。
無名的cross-scripting請求偽造錯誤在一個概念驗證詳細信息安全工程師Michele Spagnuolo,目前谷歌的一名員工,總部設在蘇黎世,瑞士。
根據Spagnulo,幾個知名網站是脆弱的,包括大多數谷歌域,Instagram,Tumblr和eBay。
Twitter也脆弱,但上周末插入洞里。
@mikispag @twittersecurity是的你受傷有點毀了我們的周末
-伯克·d·Demir(@bd)7月5日,2014年
概念驗證通過Adobe SFW文件從一個二進制格式轉換成文字或字母數字文件。
攻擊者可以將“透露”SWF文件上傳到一個域,被受害者的瀏覽器加載和執行由Adobe Flash Player。遠程控制軟件
一旦在脆弱的系統上運行,精雕細琢的SWF文件可用于請求的漏出敏感數據從目標站點到黑客的目的地。
Spagnuolo表示這個問題已經知道安全社區,但直到現在,還沒有公開的工具來生成ASCII或alphanumerical-only SWF文件。
Spagnuolo已經創建了一個名為羅塞塔的工具Flash編寫“濫用JSONP”(Javascript對象表示法前綴,一個開源的數據交換標準,被廣泛使用在web上),但他指出,脆弱性并不限于協議。
羅塞塔Flash圖。來源:楊愛瑾Spagnuolo 灰鴿子遠控
失眠安全研究員亞當•波瓦洛分析了跨域脆弱性iTnews和descrived“相當糟糕的屁股”,引人注目的,因為它不是應用程序或特定目標。
“這個漏洞是一個很好的例子連接在一起,三個或四個不同的合法的瀏覽器行為變成一個很嚴重的錯誤,”波瓦洛說。
“我們見過Flash用于跨域攻擊,但這種“普遍“跨域的弱點可能真的被濫用。JSONP是相當廣泛使用,暴露出動態web應用程序的用戶帳戶妥協。減輕這個bug正確依賴Flash更新,從來沒有順利。免殺遠控灰鴿子
”這種類型的弱點展示了復雜和脆弱的現代瀏覽器和web的生態系統的組件之間的關系。”
漏洞已經報告給谷歌已經設法獲得其網站。
Adobe也提供了一個解決的問題在最新的Flash播放器版本14.0.0.145,今天發布。
Spagnuolo建議網站管理員應該避免使用JSONP敏感的領域,并盡量使用專用的沙箱域。