四月份有研究人員發(fā)現(xiàn)谷歌賬戶系統(tǒng)存在安全漏洞，借助此漏洞研究人員可以獲取任意用戶綁定的手機(jī)號(hào)碼，并且整個(gè)過(guò)程被獲取手機(jī)號(hào)碼的用戶不會(huì)收到任何提醒。

這個(gè)漏洞最初由獨(dú)立安全研究人員 brutecat 發(fā)現(xiàn)并通報(bào)給谷歌，漏洞主要位于谷歌賬戶恢復(fù)功能中，漏洞利用多個(gè)由獨(dú)立進(jìn)程協(xié)同工作的供應(yīng)鏈操作，整個(gè)過(guò)程較為復(fù)雜但走通整個(gè)流程后后續(xù)過(guò)程會(huì)變得比較簡(jiǎn)單。

具體來(lái)說(shuō)研究人員利用漏洞可以繞過(guò)谷歌實(shí)施的反機(jī)器人保護(hù)機(jī)制，該機(jī)制正常情況下會(huì)限制用戶發(fā)送密碼重置請(qǐng)求的頻率，但研究人員能夠繞過(guò)漏洞并使用遍歷方式進(jìn)行排列組合。

手機(jī)號(hào)碼的位數(shù)基本固定且全部都是數(shù)字，所以通過(guò)遍歷方式進(jìn)行排列組合爆破用戶的手機(jī)號(hào)碼并不是難事，基于此研究人員編寫(xiě)腳本讓整個(gè)攻擊可以自動(dòng)化，正常情況下可以在 20 分鐘甚至更短時(shí)間內(nèi)找出賬戶的真實(shí)號(hào)碼。

找出目標(biāo)賬戶的真實(shí)號(hào)碼后就可以進(jìn)行多種利用，例如冒充谷歌發(fā)送安全提醒要求用戶輸入密碼進(jìn)行確認(rèn)，對(duì)于高價(jià)值用戶還可以采用 SIM 換卡攻擊來(lái)控制這個(gè)谷歌賬戶。

現(xiàn)在谷歌已經(jīng)在賬戶系統(tǒng)里將這個(gè)漏洞徹底修復(fù)，谷歌稱(chēng)這起案例也再次凸顯通過(guò)漏洞獎(jiǎng)勵(lì)計(jì)劃與安全研究社區(qū)合作的重要性，谷歌感謝報(bào)告漏洞的研究人員并提供 5000 美元的漏洞獎(jiǎng)金。

另外谷歌經(jīng)過(guò)調(diào)查后確認(rèn)在漏洞修復(fù)前沒(méi)有發(fā)現(xiàn)任何與該漏洞有直接關(guān)聯(lián)的攻擊事件，所以沒(méi)有用戶的真實(shí)手機(jī)號(hào)碼在此次安全事件中被泄露。

關(guān)注公眾號(hào)：拾黑（shiheibook）了解更多

友情鏈接：

關(guān)注數(shù)據(jù)與安全，洞悉企業(yè)級(jí)服務(wù)市場(chǎng)：https://www.ijiandao.com/
安全、綠色軟件下載就上極速下載站：https://www.yaorank.com/