新闻链接：http://www.2cto.com/News/201606/516194.html
   新闻时间：2016-06-11
   新闻正文：根据有关人士透露的信息,Facebook的安全技术人员已经成功修复了Facebook即时聊天应用程序中的严重漏洞。这个漏洞同时存在于Facebook的Web端和移动端程序之中,攻击者可以利用这个漏洞来修改或删除任意用户的聊天信息。

CheckPoint公司的安全研究人员Roman Zaikin在本月月初发现了这个问题,并及时将有关这一漏洞的信息报告给了Facebook公司。Facebook在了解到了这一漏洞之后,便立刻向用户推送了更新补丁,并在这一漏洞被攻击者广泛利用之前成功将其修复了。

根据Zaikin的描述,通过这一毫不起眼的漏洞,攻击者只需要知道聊天信息的message_id值,他们就可以修改任意一条聊天信息。Facebook的聊天软件依赖于中继消息传输机制, 用户之间的聊天信息需要通过Facebook的网络服务器进行转发和传递。系统会为每一条信息生成一个随机的message_id值,而且每一条消息所对应的message_id值都是唯一的。

Zaikin发现,他只需要查询以下URL地址,他就能够找出每一条消息所对应的message_id值。

URL:facebook.com/ajax/mercury/thread_info.php

利用这个漏洞,攻击者可以记录并存储消息请求。攻击者可以利用一台代理服务器,或者利用恶意软件感染目标用户的设备,并以此来记录下用户的消息请求,然后将这些聊天信息转发到由攻击者所控制的网络服务器之中。

据了解,Zaikin还针对这一漏洞开发出了一款能够进行自动攻击的工具,我们现在假设攻击者已经获取到了即时聊天软件的登录ID,在这一工具的帮助下,攻击者就可以伪装成目标ID的用户,并使用这一ID来向其他的用户发送信息。不仅如此,攻击者甚至还可以修改这一用户所发出的原始聊天消息。

由于移动端的Facebook聊天软件允许用户删除聊天信息,所以同样的自动攻击机制也可以用来删除软件中的聊天信息。

这种类型的攻击是非常危险的,它可能会带来非常严重的后果。

这种类型的攻击之所以如此危险,是因为攻击者可以不断利用新的恶意URL来更新他们的伪造信息,这样一来,垃圾邮件发送者就可以利用这种方法来不断地像用户发送新的垃圾消息了。

除此之外,由于法律规定即时聊天软件的聊天记录可以作为合法的呈堂证供,所以攻击者甚至还可以修改数据库中的聊天记录,并以此来陷害他人,或者让犯罪分子逃脱法律的制裁。

Oded Vanunu是CheckPoint公司产品漏洞研究部门的主管,他表示:“通过利用这个漏洞,网络犯罪分子可以修改所有的聊天信息,而且用户对此根本无法察觉。更糟糕的是,攻击者甚至还可以采用自动化技术来绕过软件的安全防护策略,并不断修改用户的聊天信息,这是一件非常可怕的事情。Facebook能够如此快速地处理这一问题,并将用户的安全性放在了第一的位置,我们应该给Facebook致以热烈的掌声。”

Facebook公司的官方发言人在接受Softpedia采访时表示,这个漏洞只允许攻击者修改目标用户手机中存储的消息,这只是暂时性的,当应用程序从服务器读取数据时,应用程序之中的信息将会被更新。服务器会将每位用户的原始聊天信息进行加密存储,所以我们是能够给用户提供可信的消息源,并保证这些信息的正确性。

除此之外,用户是无法在任何消息内容中注入例如恶意链接和恶意软件等信息的。因为Facebook聊天软件的所有信息都需要流经反恶意软件过滤器和反垃圾邮件过滤器,所以这些恶意内容是无法进行发送的。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)