जीमेल अकाउंट पासवर्ड की चोरी

कल से एक दिन पहले, एक प्रसिद्ध बग शिकारी, ओरेन हाफ़िफ़ ने जीमेल में एक भेद्यता की खोज की। अधिक सटीक रूप से, एक भेद्यता नहीं, लेकिन एक पूरी श्रृंखला जो आपको अपने खाते से पासवर्ड चोरी करने की अनुमति देती है।

उन लोगों के लिए जो पढ़ना नहीं चाहते हैं, लेकिन एक वीडियो देखना पसंद करते हैं, वे तुरंत परिणाम देख सकते हैं।
पहला कदम पीड़ित को एक फ़िशिंग लिंक भेजना था जो असली जैसा दिखता था:



एक क्लिक के बाद, क्लाइंट जावास्क्रिप्ट कोड के साथ एक विशेष रूप से गठित पृष्ठ पर भेजता है, जो सीएसआरएफ के लिए धन्यवाद, एक अनुरोध भेजता है www.google.com/accounts/recovery/verifyuser?jsEnabled=False&preoption=1&Email=' + location.hash.split("Email=")[1] + '&Email2= www.google.com/accounts/recovery/verifyuser?jsEnabled=False&preoption=1&Email=' + location.hash.split("Email=")[1] + '&Email2= , तो मापदंडों से प्राप्त ईमेल को लेता है और इच्छित पर पुनर्निर्देशित करता है। लिंक टाइप करें: google.com/accounts/recovery/ktpass?rpu=EVIL_JS google.com/accounts/recovery/ktpass?rpu=EVIL_JS असुरक्षित पैरामीटर आरपीयू है , जो मनमाने ढंग से जेएस कोड को निष्पादित करने की अनुमति देता है। अगला, पासवर्ड प्रविष्टि फॉर्म प्रदान किया गया है।



आरपीयू पैरामीटर में आवश्यक जेएस पास करके, आप पासवर्ड दर्ज करने के परिणाम को ट्रैक कर सकते हैं, और फिर डेटा को स्निफर में स्थानांतरित कर सकते हैं।


इस भेद्यता के लिए, Google ने पाई गई कमजोरियों के लिए इनाम कार्यक्रम के तहत ओरेन को 5100 डॉलर का भुगतान किया । मुझे लगता है कि एक योग्य इनाम है।

Google की तरह हमेशा कमजोरियां भी होती हैं। एक को ही खोजना है।