About Group 网站有一个严重的网络安全问题，它容易遭受 XSS (跨站脚本漏洞) XFS (跨Frame脚本漏洞)。这对它的近10亿月访问用户是灾难和毁灭性的。
根据漏洞研究者发布的结果和POC视频，所有About.com的话题(子域名)都可以被攻击者利用。
新加坡南洋理工大学 (NTU) 数学和物理学院 (SPMS) 数学系 (MAS) 的王晶 (Wang Jing) 发布了这个严重的安全漏洞。王晶声称在2014年10月19号，他向 About Group 做了报告，但是迄今为止一直没有收到回复。漏洞的发布时间是2015年2月2号。“到现在为止，漏洞还没有被修复” 王晶说。
与 此同时，王晶披露 About.com 主页面的搜索域也容易遭受 XSS 攻击。除此之外，他还发布了一些 About.com 的公开重定向漏 洞 (Open Redirect). 王说他的测试是 在 Windows 8 的 IE (10.0.9200.16750) 和 Mozilla 的 Firefox (34.0), Ubuntu (14.04) 的 Google Chromium 39.0.2171.65-0, 以 及 Mac OS X Lion 10.7 的 Apple Safari 6.1.6 上进行的。
XSS (Cross- site Scripting) 可以用来窃取用户信息，控制用户浏览器，和进行 DOS (Denial of Service) 攻 击。 XFS (Cross-frame Scripting) 也叫 iFrame Injection，可以修改用户浏览器页面内容。
在 发布漏洞的同时，王晶还说明因为 About Group 的普遍性，它的漏洞可以用来对其他网站进行隐蔽重定向攻 击 (Covert Redirect)；XFS 则可以用来对计算机和网络进 行 DDOS (Distributed Denial of Service) 黑客攻击。这些漏洞发布在著名漏洞平台 Full-Disclosure 上和他的个人博客上。
王晶是一名学生安全研究人员。他发布了包括谷歌，脸书，亚马逊，阿里巴巴等很多公司网站的重要漏洞以及大量网络应用程序的补丁。
相关新闻:
No comments:
Post a Comment