微慑信息网

雅虎为 Flickr 帐户劫持漏洞猎手授予 7,000 美元赏金

雅虎为 Flickr 帐户劫持漏洞猎手 Michael Reizelman 授予 7,000 美元赏金。

Reizelman 是一位颇受欢迎的漏洞猎手,善于挖掘 Badoo、Dropbox、GitHub、Google、Imgur、Slack、Twitter 与 Uber 等多种网络服务漏洞。他在不久前发现,如果将存在于雅虎图像与视频托管服务的三个漏洞配合使用可成功接管 Flickr 帐户。

Reizelman 发现用户每次登录 Flickr.com 帐户都会被重定向至 login.yahoo.com 域进行身份验证。如果用户已登录,就会在后台被重定向至 login.yahoo.com。此外,login.yahoo.com 请求用于获取用户访问令牌。

2017050225

据悉,Reizelman 最初在 flickr.com 搜索开放式重定向漏洞并加以利用,但以失败告终。随后,他设计出另一种漏洞利用方法,即通过使用 标签将受攻击者控制的服务器存储图像文件嵌入 Flickr.com 页面。调查表明,黑客在攻击过程中必须诱导用户点击特制链接以获取访问令牌并接管受害者 Flickr 帐户。

Reizelman 于 4 月 2 日发现与报告该漏洞,并因此获取 7,000 美元赏金。据悉,雅虎公司通过 HackerOne 执行漏洞赏金计划。

原作者:Pierluigi Paganini, 译者:青楚,译审:游弋
本文由 HackerNews.cc 翻译整理,封面来源于网络。
转载请注明“转自 HackerNews.cc ” 并附上原文链接

 

from hackernews.cc.thanks for it.

赞(0) 打赏
转载请附本站链接,未经允许不得转载,,谢谢:微慑信息网-VulSee.com » 雅虎为 Flickr 帐户劫持漏洞猎手授予 7,000 美元赏金

评论 抢沙发

微慑信息网 专注工匠精神

微慑信息网-VulSee.com-关注前沿安全态势,聚合网络安全漏洞信息,分享安全文档案例

访问我们联系我们

觉得文章有用就打赏一下文章作者

非常感谢你的打赏,我们将继续提供更多优质内容,让我们一起创建更加美好的网络世界!

支付宝扫一扫

微信扫一扫

登录

找回密码

注册