Slack应用中存在一个漏洞,攻击者可控制受害者账户

简介: 本文讲的是Slack应用中存在一个漏洞,攻击者可控制受害者账户,随着信息安全的不断普及,越来越多的用户开始有意识要保护好自己的信息安全,大部分用户已经开始选择使用加密性比较好的通信软件进行交流,公司也开始使用安全性能良好的通信软件。
本文讲的是 Slack应用中存在一个漏洞,攻击者可控制受害者账户

Slack应用中存在一个漏洞,攻击者可控制受害者账户

随着信息安全的不断普及,越来越多的用户开始有意识要保护好自己的信息安全,大部分用户已经开始选择使用加密性比较好的通信软件进行交流,公司也开始使用安全性能良好的通信软件。

近期,安全研究员测试了一款安全通信软件——Slack,在其中发现了一枚漏洞,攻击者可由此窃取用户的访问token并掌控用户账户。

漏洞赏金猎人Frans Rosen在浏览器上使用Slack进行通信时发现了这一漏洞,并成功演示可利用该漏洞窃取用户的访问token。

我可以创建一个恶意页面,然后重新将你的网页版Slack WebSocket连接到我自己的WebSocket,然后从中窃取你的Slack token。Slack反应非常迅速,在漏洞提交之后的五个小时内便将其修复了,并支付了我3000美元的奖金。

Slack使用的postMessage存在安全问题

Slack使用的技术是postMessage,允许来自不同源的脚本采用异步方式进行有限的通信,可以实现跨文本档、多窗口、跨域消息传递。通常情况下,只有网页之间通过相同协议(都是用https)、相同端口(https默认443端口)、相同的host。

使用window.addEventListener(‘message’, func) 和window.postMessage()在跨域之间传递信息是一种非常好用的方法,但是同样也有一个非常可怕的弊端——它不会核查不同域传递过来的信息。

Slack在使用 postMessage时,没有核对不同域之间传递的信息,所以才导致这一漏洞的存在。Rosen发现这一问题之后立即进行了验证,可以利用这一漏洞窃取用户的访问token。




原文发布时间为:2017年3月6日
本文作者:張奕源Nick 
本文来自云栖社区合作伙伴嘶吼,了解相关信息可以关注嘶吼网站。
目录
相关文章
|
JSON IDE 机器人
超简单:mac导出微信聊天记录(附上粉丝群全部聊天记录)
今天再给大家讲解一下如何直导出mac版本微信的聊天记录,当然如果你没有mac,那可以直接关闭这篇文章了。
9423 0
超简单:mac导出微信聊天记录(附上粉丝群全部聊天记录)
|
存储 缓存 自然语言处理
Elasticesearch内存详解
Elasticesearch内存详解总结文章
4332 0
Elasticesearch内存详解
|
安全 数据库
Elasticsearch未授权访问漏洞
  Elasticsearch服务普遍存在一个未授权访问的问题,攻击者通常可以请求一个开放9200或9300的服务器进行恶意攻击。 0x00 Elasticsearch 安装 前提,保证安装了JDK 1.
12922 1
|
SpringCloudAlibaba 前端开发 Nacos
SpringCloudAlibaba踩坑日记(一)nacos报错: Param ‘serviceName‘ is illegal, serviceName is blank
SpringCloudAlibaba踩坑日记(一)nacos报错: Param ‘serviceName‘ is illegal, serviceName is blank
6053 0
SpringCloudAlibaba踩坑日记(一)nacos报错: Param ‘serviceName‘ is illegal, serviceName is blank
|
7月前
|
JavaScript 前端开发 数据格式
URL编码【详解】——Javascript对URL进行编码解码的三种方式的区别和使用场景,axios请求拦截器中对get请求的参数全部进行URL编码
URL编码【详解】——Javascript对URL进行编码解码的三种方式的区别和使用场景,axios请求拦截器中对get请求的参数全部进行URL编码
382 0
|
存储 弹性计算 对象存储
对象存储OSS快速上手——如何使用ossbrower
本实验是对象存储OSS入门级实验。通过本实验,用户可学会如何用对象OSS的插件,进行简单的数据存、查、删等操作。
|
Web App开发 JSON 安全
【漏洞复现】Yapi接口管理平台远程代码执行漏洞
Yapi接口管理平台远程代码执行漏洞,攻击者可通过特定Payload对目标实施恶意攻击,获取敏感信息,操控服务器指令。
751 1
|
消息中间件 数据安全/隐私保护 Windows
【MQ】Windows上RabbitMQ的安装与启动
【MQ】Windows上RabbitMQ的安装与启动
521 0
|
自然语言处理 安全 Java
Elastic:IK分词器分词、停用词热更新如何配置(二)基于数据库
上一期,我们说明了基于API形式的热更新,但是API形式的热更新存在词库的管理不方便,要直接操作磁盘文件,检索页很麻烦;文件的读写没有专门的优化,性能不好;多一次接口调用和网络传输等缺点,因此这期我们来说明直连数据库的方式来实现热更新
531 0
Elastic:IK分词器分词、停用词热更新如何配置(二)基于数据库
|
数据安全/隐私保护
win10系统中如何快速查看wifi密码
win10系统中如何快速查看wifi密码
879 0
win10系统中如何快速查看wifi密码

热门文章

最新文章