您当前位置:首页 > 资讯中心 > 信息安全

安全研究员发现Instagram漏洞,遭FaceBook高管威胁

一位独立安全研究人员声称,他曾发现了Instagram中一系列安全漏洞和配置缺陷,通过利用这些漏洞,他成功地获取了访问存储在Instagram服务器上敏感数据的权限;在他向相关厂商报告了这些漏洞后,却受到了Facebook的威胁。

是否想过如何破解Instagram?或者如何黑掉一个facebook账户?Well,现在就已经有人就做到了!但是,需要记住的是,甚至负责地报告一个安全漏洞都可能会导致它们对你采取法律措施。

漏洞分析

一位独立安全研究人员声称,他曾发现了Instagram中一系列安全漏洞和配置缺陷,通过利用这些漏洞,他成功地获取了访问存储在Instagram服务器上敏感数据的权限;在他向相关厂商报告了这些漏洞后,却受到了Facebook的威胁。其中,存储在Instagram服务器上的敏感数据包括:

1、Instagram网站的源代码

2、Instagram的SSL证书和私钥

3、用于签名认证cookie的密钥

4、Instagram用户和员工的私人信息

5、邮件服务器证书

6、超过六个其他关键功能的密钥

然而,不但没有给他提供奖励,Facebook反而威胁要起诉该研究人员,理由是他故意隐瞒漏洞和信息。Synack的一位高级安全研究员,Wesley Weinberg参加了Facebook的bug赏金计划,在他的一位朋友暗示他sensu.instagram.com的一个服务器上可能存在漏洞后,他便开始分析Instagram系统。

这位研究人员发现了一个远程代码执行漏洞,该漏洞存在于Instagram处理用户会话cookie的方式中,这些cookie通常用来记住用户的登录细节。这个远程代码执行漏洞可能是因为下面两个缺陷:

1、运行在服务器上的Sensu-Admin Web应用程序包含一个硬编码的Ruby密钥令牌。

2、主机上运行了Ruby(3.x)版本,该版本的Ruby会通过Ruby会话cookie受代码执行漏洞的影响。

利用该漏洞,Weinberg能够迫使服务器吐出一个数据库,其中包含登录细节,包括Instagram和Facebook员工的凭证。虽然这些密码以“bcrypt”进行了加密,但Weinberg能够在几分钟内破解大量弱密码(例如changeme、instagram、password)。

暴露所有信息,包括你的自拍照

Weinberg并没有就此停止。他仔细研究了在服务器上发现的其他配置文件,并发现其中一个文件中包含了一些Amazon Web服务账户的密钥,以及用于寄宿Instagram Sensu设置的云计算服务。

这些密钥列出了82个 Amazon S3 bucket(存储单元),但这些bucket都是互不相同的。在那个bucket中的较新文件中,他并未发现任何敏感信息,但是当他查看旧版本的文件时,他却发现了另一个密钥对,使用它能够阅读所有82个bucket的内容。

Weinberg无意中发现了几乎所有的内容,包括:

1、Instagram的源代码

2、SSL证书和私钥(包括instagram.com和*.instagram.com)

3、用于与其他服务交互的API密钥

4、Instagram用户上传的图片

5、instagram.com网站上的静态内容

6、邮件服务器证书

7、iOS和Android应用程序签名密钥

8、其他敏感数据

负责任的信息披露,但Facebook却威胁诉讼

Weinberg将它的发现报告给了Facebook的安全团队,但该社交媒体巨头担心他在发现该问题时,就已经访问了其用户和员工的私人数据。所以,Weinberg不仅未收到Facebook的奖励,反而被Facebook的赏金计划判定为不合格。

在12月初,Weinberg声称他的老板Synack CEO Jay Kaplan收到来自Facebook安全主管Alex Stamos的一个可怕的电话,该电话是关于Weinberg在Instagram中发现的漏洞的,这个漏洞使得Instagram和Facebook用户暴露在毁灭性的攻击风险中。

Weinberg在它的博文中的题目为“威胁和恐吓”的部分中写道:

“Stamos表示,他不想让Facebook的法律团队参与进来;但是,他不确定这是否是需要他通过法律部门去解决的事情。”

作为回应,Stamos发表了一份声明,说他“未威胁要采取法律行动来反对Synack和Weinberg,也未要求解雇Weinberg。”Stamos说他只告诉Kaplan“让双方的律师不要插手此事。”

Facebook回应

在该研究人员较初发表博文之后,Facebook发布了回应,声称对方的责备是纯属子虚乌有,并表示并未警告Weinberg不能发表他的发现,而是表示要求他不要公开所访问的私人信息。

该社交媒体巨头证实sensu.instagram.com域名中确实存在远程代码执行漏洞,并向Weinberg和他的朋友承诺2500美元的漏洞奖金。然而,允许Weinberg获取访问敏感数据权限的其他漏洞并不合格,Facebook表示Weinberg违反了用户隐私而访问了私人数据。

【编辑推荐】

作者:grabsun - 发布时间:2015-12-23 - 点击量:2531
公司简介:大势至公司是国内较早的企业网管软件提供商,可以为企事业单位提供整体的企业网络管理方案和企业网络管理平台,通过全系列的公司监控员工电脑软件教你如何控制员工上网、如何控制局域网内电脑上网以及如何保护电脑文件安全等。公司核心产品“聚生网管系统”是一款专门的公司网管必备软件、查看网络流量软件、网络流量监控软件和办公室电脑监控软件;“网络特警”则是一款专门的网络流量监控设备、上网行为管理服务器、网络行为管理设备,可以实现更为强大的局域网网络行为管理;大势至USB接口禁用软件则是一款专门的数据防泄密产品、屏蔽U盘软件、电脑USB端口禁用软件,可以严防通过一切途径泄露电脑文件,保护单位无形资产和商业机密安全;大势至共享文件夹管理软件则是一款专门的共享文件权限设置软件和共享文件设置密码软件,全面保护共享文件安全;大势至共享文件审计系统则是一款专门的服务器共享文件夹设置软件、服务器共享文件访问日志记录软件,可以详细记录局域网用户访问共享文件的行为,更好地管理共享文件的安全;大势至局域网网络准入控制系统则是一款专门防止未经授权的电脑接入公司局域网的行为,防止外来电脑访问局域网共享文件、防止蹭网以及绑定IP和MAC地址,保护网络安全;大势至FTP服务器日志记录软件则是一款专门记录局域网用户访问FTP服务器日志的软件,可以有效保护FTP服务器文件安全。
联系我们