Slack 应用存在漏洞允许黑客窃取访问令牌劫持账户
漏洞赏金猎人 Frans Rosen 发现社交应用 Slack 存在一个漏洞,可被攻击者利用窃取访问令牌并接管账户。该漏洞存在于应用与互联网浏览器传输数据的方式。Rosen 于上周五报告了这一漏洞,5 个小时后官方便修复了漏洞并付给 Rosen 3000 美元的漏洞赏金。
Slack 利用 postMessage 技术可安全地实现跨域传递信息,但同样也存在一个重大隐患:它不会核查不同域传递过来的信息。Rosen 通过创建一个可劫持程序的恶意页面,并利用该漏洞重新连接受害者的 Slack WebSocket 到自己的 WebSocket 页面上,从而窃取私人 Slack 令牌。
原作者:Pierluigi Paganini,译者:M帅帅
本文由 HackerNews.cc 翻译整理

关注公众号:拾黑(shiheibook)了解更多
[广告]赞助链接:
四季很好,只要有你,文娱排行榜:https://www.yaopaiming.com/
让资讯触达的更精准有趣:https://www.0xu.cn/

随时掌握互联网精彩
赞助链接
排名
热点
搜索指数
- 1 让祖国大地更加绿意盎然生机勃发 7938454
- 2 美股全线暴跌 7943295
- 3 中方反制!对美进口商品加征34%关税 7854801
- 4 中国经济的暖意新意诚意 7793876
- 5 杜邦中国被立案调查 7635498
- 6 中方对美一系列反制措施来了 7517126
- 7 中概股暴跌 京东、阿里巴巴跌超10% 7417346
- 8 关税重压下苹果手机或成奢侈品 7314807
- 9 18岁禁毒战士的葬礼全场被马赛克 7268892
- 10 国资央企全力护航春耕好“丰”景 7130181