【现实生活中金刚狼】魅族曝重大漏洞或泄用户信息 云设计缺陷是主因


发布时间:2020-12-04 12:16:05 阅读量:16669 作者:星儒

“只要知道魅族用户的用户名或手机号,就可以获取用户名和密码现实生活中金刚狼。”乌云网相关负责人向中国网科技记者解释,并简单解释了漏洞原因”此漏洞绕过了魅族找回密码的逻辑。”

近日,魅族论坛中一则声称“大家好,我的账号被盗了”的发帖引起轰动,发布该帖的ID为“J现实生活中金刚狼.Wong”,而论坛中众所周知的是,此ID的所有者,正是魅族CEO黄章。

其后不久,一位网名为“GLZJIN”的网络安全人士便在自己的博客中发布信息,截图证明其已“登陆”魅族CEO黄章账号,并声称其发现魅族存在重大漏洞——“魅族的账号系统存在缺陷,可导致任意账户密码被非法重置”。

中国网科技记者走访魅族公司时,对方对此漏洞并未予以否认,只是向记者表示称“没有发现用户数据泄露的问题”,但并未提供相应证据。

魅族曝安全漏洞 黄章账号被盗

无独有偶,在魅族论坛“盗号事件”发生几近同时,国内知名网络安全网站乌云网也发布公开信息称“魅族的账号系统内存在漏洞可导致任意账户的密码重置”,且将其危害等级设定为高。对此漏洞,其发现者在发布的公开信息中简要描述为:魅族的密码找回系统存在缺陷,黑客可绕过验证码从而重置任意账号密码,进而导致隐私泄露等不良后果。

众所周知,魅族论坛与魅族手机使用的都是同一套账号密码——Flyme账号。魅族系列手机中的通讯录、短信、用户记录及邮件都是通过云服务器存储,而Flyme账号则是读取云端数据的唯一凭证。一旦Flyme账户被控制,黑客即可轻松获取用户通讯录、短信、邮件等敏感信息。

对于此次事件,魅族方面回应的态度相对谨慎,仅对中国网科技记者表示“目前的技术漏洞已经全部解决,未来会建立更完善的漏洞清查机制。”但当记者问及黄章账号被盗和用户信息泄露的具体情况与相关细节问题时,相关负责人则表示“无可奉告”。

原因或为设计缺陷

对此问题,中国网科技记者专程采访到了由“中国黑客教父”万涛发起创建的IDF网络安全实验室。

“这个漏洞可以认为是设计缺陷,是服务端缺乏充分验证造成的。此类问题多数属于网站建设过程中的残留问题。”同为IDF实验室创始人之一的Archer向中国网科技记者表示。

此漏洞的大致过程为:首先黑客访问魅族“密码找回”页面时,通过抓包软件可以获取本次访问的用于身份识别的令牌,然后便可利用此令牌伪造其他用户请求,并篡改身份验证的邮箱,从而达到修改密码的目的。

而针对漏洞中关键问题——伪造请求所用的令牌,Archer作出了形象的解释“这种参数替换类似排号,而令牌就是序号。例如,甲在领取号码后排队领奖,但他把号码丢了,结果别人拿着他的号把奖金取出来了。很明显,这是发奖单位没有再次核实领奖人身份造成的。”

而针对漏洞可能造成的影响,IDF实验室Archer表示“一般来说,泄露的信息可能成为黑市贩卖的对象。泄露真实人物的真实信息可能会形成蝴蝶效应 ,成为其它社会工程学攻击的导火索 ,泄露更多个人的信息。”

此前,乌云网创始人方小顿也曾表示过对日益深入用户生活的云技术的担忧,“云技术是有风险的。以前出问题只影响一两个用户,使用云技术之后可能影响上千万的人。”

但当记者问起是否有针对云技术该方面相关问题隐患的改善或解决方案时,乌云网方面和IDF实验室方面均未予以明确回应。

中国网科技记者将对此事保持进一步关注。

《公益时报》相关人士告诉中国青年报记者,他们并非针对农夫山泉,而是希望通过报道,促进国内慈善信息的公开、透明。

“你父亲养甲鱼赚了10多万,你以后就跟你父亲,不要再出去了现实生活中金刚狼。” 不料,邻居一句话,又勾起了危某的欲望,他开始打起了父亲的主意。

今年的春运抢票高峰也暂告一段落。成功抢到除夕前回家车票的人可以踏踏实实过一个快乐的元旦假期,而没有抢到票的人则不得不考虑其他回家方式了。

该报质疑,“2008年,农夫山泉饮用水的市场销售量大致是15亿瓶到20亿瓶的规模,2005年以来也基本保持了这样的销量。”文中援引“业内一位人士”的话表示,“如果按照实际计算,农夫山泉应该每年至少拿出1500万元注入助学基金,而不是500万元。”

据李菲菲介绍,2001年她到惠州打工时认识了陈某清,两人确定了男女朋友关系。后来,李菲菲跟随陈某清到深圳。回忆起那段日子,李菲菲显得很平静,“那时他工资也涨了很多,心情也特别好,那是我们最开心的日子。”

“你父亲养甲鱼赚了10多万,你以后就跟你父亲,不要再出去了。” 不料,邻居一句话,又勾起了危某的欲望,他开始打起了父亲的主意。

魅族 账号 漏洞

上一篇: 网易美学:撷一束YSL的星光,点亮你的脸庞

下一篇: 56岁男子悉心照顾98岁岳母 20年如一日(图)

网友评论:

来自扬中的网友说:评论时间:2020-12-04

不是每件事都注定会成功,但是每件事都值得一试。回复


来自南充的网友说:评论时间:2020-12-04

爱的出发点不一定是身体,但爱到了身体就到了顶点。回复


来自洮南的网友说:评论时间:2020-12-04

人生只有回不去的过去,没有过不去的当下。回复


来自海伦的网友说:评论时间:2020-12-04

一直都很想你,不管做什么都会想到你,折腾过身体,费过劲,喝过酒,试过一切,但还是很想你。回复


来自肥城的网友说:评论时间:2020-12-04

晴天适合相见,雨天适合思念。回复


来自余姚的网友说:评论时间:2020-12-03

我要你,要得我心里生痛,我要你的火焰似的笑,要你灵活的腰身,你的发上眼角的飞星;我陷落在迷醉的氛围中,像一座岛,在蟒绿的海涛间,不自主的沉浮……回复


来自崇州的网友说:评论时间:2020-12-03

一生一世的爱情,并不是嘴上说说的。如果承诺有用,就不会有那么多分离。如果只靠感情有用,就不会有那么多背叛。把爱挂在嘴边,不如把人放在心上。回复


来自上虞的网友说:评论时间:2020-12-03

那些想说却不敢说的话,都变成了转发,不是我不善言辞,只是不敢表达。回复


来自邓州的网友说:评论时间:2020-12-02

明知道你的签名写的不是为我,而我却自欺欺人的对号入座。回复


来自舒兰的网友说:评论时间:2020-12-02

请不要假装对我好,我很傻,会当真的。回复


红酒养生:夜晚是饮用最佳时间

虽然说喝红酒对人体有诸多好处,但并不是不分场合,不顾身体情况,不限量的喝。早晨刚起来不宜喝红酒,因为人从早晨6点钟开始,体内的醚逐渐上升,到早晨8点到达高峰,此...

2020-12-04
阿迪王府井店将关闭 内卖会取消“

昨晚,阿迪达斯王府井店店门紧锁,并公告取消了原定于昨晚延续的内卖会活动。而阿迪方表示,王府井店由于租约到期将关闭不再营业,但闭店与此次内卖会事件并无关系。昨天晚...

2020-12-04
北京消协比较试验发现部分床垫标识

北京市消费者协会日前公布床垫比较试验结果,部分床垫标识信息不全,有的产品拉伸强度差、耐干摩擦色牢度不达标等。床垫质量好坏对人体健康有直接影响。北京市消协秘书长杨...

2020-12-04
为暑期出游解忧 同程金服启动“6

同程金服近日开启了“6•18”狂欢日活动,活动期间,根据用户日益多样化的产品诉求,分为理财和分期游两大主题,新颖的活动形式和丰富的金融产品为用户提供安全、稳定、...

2020-12-04
瑞典男子欲“父乳”喂养孩子 离奇

瑞典男子拉格纳尔·本格特森为了能和自己未来的孩子增强“父子关系”,竟计划用自己的“父乳”来哺乳未来的儿女。拉格纳尔目前正在进行一项实验,每隔3小时就要用吸乳器刺...

2020-12-03
太子奶再曝陷入资金危机 20多天

尽管公司董事长一直声称资金链没有问题,但昨天有消息再曝太子奶陷入危机。太子奶不仅关停了北京与株洲的一些连锁店,同时多部门进行裁员。对于这一消息,太子奶有关人士昨...

2020-12-03
1-11月银川厨余垃圾7万吨 吃

汗滴禾下土。谁知盘中餐,粒粒皆辛苦。”自2013年全国开展“光盘行动”至今已经4年,“舌尖上的浪费”明显好转。记者近日走访银川多家餐饮行业,就餐厅打包情况及厨余...

2020-12-02
自然保护区饭店工厂滥排污水 黑水

增城陈家林自然保护区内污染现象严重;民革广州市委呼吁尽快整治增城新塘镇陈家林自然保护区内不仅有多家化工厂,还有一个大型垃圾填埋场。这里,污水随意排放,垃圾露天焚...

2020-12-02
热门专题