黑客在苹果公司网络中发觉55个安全漏洞
发布时间：2022-08-04 10:49:21 所属栏目：安全 来源：互联网
导读：本周的一篇博客显示，一群黑客针对苹果公司庞大的在线基础设施，花费数月时间后发现了一系列漏洞，其中包括一些允许黑客窃取用户iCloud帐户中文件的漏洞。 不过，与那些蓄意破坏的黑客不同，这些黑客以白帽的身份进行操作，这意味着他们的目标是向Apple发出
|
本周的一篇博客显示，一群黑客针对苹果公司庞大的在线基础设施，花费数月时间后发现了一系列漏洞，其中包括一些允许黑客窃取用户iCloud帐户中文件的漏洞。 不过，与那些蓄意破坏的黑客不同，这些黑客以“白帽”的身份进行操作，这意味着他们的目标是向Apple发出警报，而不是窃取信息。  这个黑客团队由20岁的Sam Curry领导，其他研究人员包括：Brett Buerhaus, Ben Sadeghipour, Samuel Erb, and Tanner Barnes. 通过授权和身份验证绕过远程代码执行 通过配置错误的权限绕过身份验证允许全局管理员访问 通过未经过滤的文件名参数进行命令注入 通过泄露的机密和公开的管理员工具执行远程代码 内存泄漏导致员工和用户帐户泄露，从而允许访问各种内部应用程序 通过未经过滤的输入参数进行Vertica SQL注入 可修复的存储XSS允许攻击者完全危害受害者iCloud帐户(1) 可修复的存储XSS允许攻击者完全危害受害者iCloud帐户(2) 完全响应SSRF允许攻击者读取内部源代码并访问受保护的资源 Blind XSS允许攻击者访问内部支持门户以跟踪客户和员工的问题 服务器端PhantomJS执行允许攻击者访问内部资源并检索AWS IAM密钥 在发表了一篇9200字的题为《我们入侵苹果3个月：以下是我们发现的漏洞》的文章后的几个小时，Curry在网上聊天中说道，“如果这些问题被攻击者利用，苹果将面临大规模的信息披露和诚信损失，例如，攻击者可以访问用于管理用户信息的内部工具，还可以更改周围的系统，使其按黑客的意图工作。” Curry说，存储的XSS漏洞是可修复的，这意味着当用户只打开恶意电子邮件时，它可能会在用户之间传播。这样的蠕虫可以通过包含一个脚本来工作，该脚本向每个iCloud.com网站或者Mac.com网站受害者联系名单上的地址。 在查找错误的过程中，Curry和他的团队意外揭开了苹果公司在线基础架构规模的面纱。他们发现，苹果拥有超过25,000台Web服务器，分别属于Apple.com，iCloud.com和7,000多个其他唯一域。许多漏洞是通过搜索Apple拥有的不起眼的Web服务器(例如其杰出教育者网站)发现的。 （编辑：云计算网_泰州站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330476号