亚洲日本免费-啊轻点灬太粗太长了三男一女-麻豆av电影在线观看-日韩一级片毛片|www.grbbt.com

世界級連鎖酒店——希爾頓酒店官網(wǎng)上曝CSRF（跨站請求偽造）漏洞，雖然CSRF漏洞在大多數(shù)安全研究者眼中算不上“高?！?，但這枚漏洞的影響可并不小。

更改密碼即可獲得1000個(gè)積分

世界級連鎖酒店大亨——希爾頓近期推出了一項(xiàng)活動——為了鼓勵用戶勤換密碼提高安全意識，在4月1日前更改賬號密碼，就能獲得1000個(gè)免費(fèi)積分。然而非常諷刺的是，安全研究人員在這個(gè)推廣功能上發(fā)現(xiàn)了一枚CSRF漏洞——攻擊者只要知道或者猜到了榮譽(yù)會員9位數(shù)的會員卡號就能任意劫持其賬號。

該漏洞是由安全咨詢與測試公司Bancsec的技術(shù)咨詢員Brandon Potter和JB Snyder發(fā)現(xiàn)。

通過CSRF漏洞劫持受害者賬號之后，攻擊者能看到用戶的所有信息，還可更改其信息：包括更改賬號密碼，預(yù)覽之前瀏覽過的網(wǎng)頁，兌換希爾頓積分，預(yù)定酒店，將積分兌現(xiàn)到一個(gè)銀行卡上或者轉(zhuǎn)到另一個(gè)榮譽(yù)會員賬號上等。該漏洞還會泄露用戶的郵箱賬號、家庭住址，甚至是信用卡的后4位數(shù)。

該CSRF漏洞被標(biāo)記為危險(xiǎn)的另一個(gè)原因，是因?yàn)楫?dāng)用戶在網(wǎng)站修改密碼時(shí)，已登錄的用戶無需重新輸入他們原來的密碼。

研究人員用自己的會員卡演示漏洞

Krebs只是給了Potter和Snyder他的賬號，幾秒鐘之后，他們就登進(jìn)了Krebs的賬號，并截下了證明圖片。幾小時(shí)之后，他們就把這一問題反饋給了希爾頓公司，公司當(dāng)即停止了用戶更改密碼的功能。

攻擊者之所以可以很快的枚舉出榮譽(yù)會員的會員卡號，是因?yàn)榫W(wǎng)站上有個(gè)PIN碼重置頁面，它會自動告訴你任意9位數(shù)的賬號是否是有效賬號，這就大大減輕了工作量。如果沒有它的幫助，這上億種數(shù)字組合不知道要測試多久呢。

Snyder稱該問題源于一個(gè)普通的web應(yīng)用程序漏洞——CSRF（跨站請求偽造）漏洞，當(dāng)已登錄希爾頓酒店的用戶訪問包含惡意代碼的web網(wǎng)站、郵件、及時(shí)消息，那么就會導(dǎo)致上面所說的一系列的攻擊行為。

目前希爾頓已經(jīng)修復(fù)了這一漏洞，并規(guī)定用戶不可使用PIN碼作為密碼了。網(wǎng)站要求用戶在設(shè)置密碼時(shí)要至少有8字節(jié)的長度，并且要至少包括一個(gè)大寫字母、一個(gè)數(shù)字或者特殊字符。

文章來源：FreeBuf黑客與極客（FreeBuf.COM）