Slack 应用存在漏洞允许黑客窃取访问令牌劫持账户
漏洞赏金猎人 Frans Rosen 发现社交应用 Slack 存在一个漏洞,可被攻击者利用窃取访问令牌并接管账户。该漏洞存在于应用与互联网浏览器传输数据的方式。Rosen 于上周五报告了这一漏洞,5 个小时后官方便修复了漏洞并付给 Rosen 3000 美元的漏洞赏金。
Slack 利用 postMessage 技术可安全地实现跨域传递信息,但同样也存在一个重大隐患:它不会核查不同域传递过来的信息。Rosen 通过创建一个可劫持程序的恶意页面,并利用该漏洞重新连接受害者的 Slack WebSocket 到自己的 WebSocket 页面上,从而窃取私人 Slack 令牌。
原作者:Pierluigi Paganini,译者:M帅帅
本文由 HackerNews.cc 翻译整理
关注公众号:拾黑(shiheibook)了解更多
[广告]赞助链接:
四季很好,只要有你,文娱排行榜:https://www.yaopaiming.com/
让资讯触达的更精准有趣:https://www.0xu.cn/
关注网络尖刀微信公众号
随时掌握互联网精彩
随时掌握互联网精彩
赞助链接
排名
热点
搜索指数
- 1 推动西部大开发是一项世纪工程 4972284
- 2 习近平会见布林肯:中美应该做伙伴 4969755
- 3 神十八升空后仅1分钟基地狂风大作 4849967
- 4 “巨龙”腾飞逐天宫 4721461
- 5 韩企开始清退35岁以上员工 4676788
- 6 女留学生澳大利亚失联在泰国被找到 4553397
- 7 560万买新房 开门发现陌生人遗体 4464440
- 8 美国去年出生人数45年来最低 4356887
- 9 上海人口流失解除落户限制不实 4245286
- 10 失踪近一世纪名画拍出2.3亿 4193877