Slack 应用存在漏洞允许黑客窃取访问令牌劫持账户
漏洞赏金猎人 Frans Rosen 发现社交应用 Slack 存在一个漏洞,可被攻击者利用窃取访问令牌并接管账户。该漏洞存在于应用与互联网浏览器传输数据的方式。Rosen 于上周五报告了这一漏洞,5 个小时后官方便修复了漏洞并付给 Rosen 3000 美元的漏洞赏金。
Slack 利用 postMessage 技术可安全地实现跨域传递信息,但同样也存在一个重大隐患:它不会核查不同域传递过来的信息。Rosen 通过创建一个可劫持程序的恶意页面,并利用该漏洞重新连接受害者的 Slack WebSocket 到自己的 WebSocket 页面上,从而窃取私人 Slack 令牌。
原作者:Pierluigi Paganini,译者:M帅帅
本文由 HackerNews.cc 翻译整理

关注公众号:拾黑(shiheibook)了解更多
[广告]赞助链接:
四季很好,只要有你,文娱排行榜:https://www.yaopaiming.com/
让资讯触达的更精准有趣:https://www.0xu.cn/

随时掌握互联网精彩
赞助链接
排名
热点
搜索指数
- 1 铭记光荣历史展望美好未来 7904080
- 2 央视曝白家电诈园区虐待手段:极残酷 7808414
- 3 缅北白家致6名中国公民死亡 7711826
- 4 怎样看懂防汛高频词 7617029
- 5 张家界司机用生命救下一车韩国游客 7523851
- 6 “大圣同款”泳衣卖爆了 7428023
- 7 院士预测广东8级地震?官方通报 7327885
- 8 王菲罕开嗓 为女儿首部剧唱主题曲 7235581
- 9 男子连续工作超8小时休息3分钟被开 7141917
- 10 父母离婚没人管 小孩商场待着玩手机 7047919