微慑信息网

Slack 应用存在漏洞允许黑客窃取访问令牌劫持账户

漏洞赏金猎人 Frans Rosen 发现社交应用 Slack 存在一个漏洞,可被攻击者利用窃取访问令牌并接管账户。该漏洞存在于应用与互联网浏览器传输数据的方式。Rosen 于上周五报告了这一漏洞,5 个小时后官方便修复了漏洞并付给 Rosen 3000 美元的漏洞赏金。

slack-app

Slack 利用 postMessage 技术可安全地实现跨域传递信息,但同样也存在一个重大隐患:它不会核查不同域传递过来的信息。Rosen 通过创建一个可劫持程序的恶意页面,并利用该漏洞重新连接受害者的 Slack WebSocket 到自己的 WebSocket 页面上,从而窃取私人 Slack 令牌。

原作者:Pierluigi Paganini,译者:M帅帅

本文由 HackerNews.cc 翻译整理,封面来源于网络。
转载请注明“转自 HackerNews.cc ” 并附上原文链接。

 

from hackernews.cc.thanks for it.

本文标题:Slack 应用存在漏洞允许黑客窃取访问令牌劫持账户
本文链接:
(转载请附上本文链接)
http://vulsee.com/archives/vulsee_2017/0306_450.html
转载请附本站链接,未经允许不得转载,,谢谢:微慑信息网-VulSee.com » Slack 应用存在漏洞允许黑客窃取访问令牌劫持账户
分享到: 更多 (0)

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址

微慑信息网 专注工匠精神

访问我们联系我们