如何在网络账户被创建之前将其劫持
我要评论
此类攻击针对的何网户被是网站以及网络在线平台中无处不在的账户创建过程 ，攻击者能够在毫无防备的络账受害者于目标服务中创建账户之前执行一系列的行为 。
此项研究是创建由个人安全研究员Avinash Sudhodanan与微软安全响应中心(MSRC）的Andrew Paverd 联合展开的 。
预劫持攻击的将其劫持前提条件是攻击者能够提前拥有与受害者相关的唯一标识符 ，例如电子邮件地址 、何网户被电话号码，服务器租用络账或者其他信息 ，创建这些信息一般可以通过抓取受害者的将其劫持社交媒体账户获取，也可以通过转储那些因大量的何网户被数据泄露而在网上传播的凭证来获取。
此类攻击有五种不同的络账方式 ，包括与受害者同时使用同一个电子邮件地址来注册账户 ，创建这样就有一定的将其劫持可能性使攻击者与受害者同时拥有访问目标账户的权限 。
预劫持的何网户被攻击效果与普通劫持攻击的一样。两者都可以使攻击者在受害者不知情的模板下载络账情况下窃取受害者的机密信息 ，甚至可以利用服务的创建特性来冒充受害者 。
研究人员表示 ，如果可以在受害者创建账户之前用其电子邮件地址在目标服务上创建一个账户 ，那么攻击者就可以利用各种技术使账户进入预劫持的状态。当受害者恢复访问权限并开始使用账户时 ，攻击者就可以重新访问并接管该账户 。
预劫持的五种攻击方式如下 ：
(1) 典型-联邦合并攻击 ：攻击者和受害者分别使用两个与同一电子邮件地址关联的身份创建两个账户 ，这样攻击者就可以与受害者同时拥有访问目标账户的权限了。
(2) 未过期的云计算会话标识符攻击 ：攻击者首先使用受害者的电子邮件地址创建一个账户，并创建一个长期运行的活动会话 。当用户使用相同的电子邮件地址恢复账户时 ，攻击者便可以继续持有访问权限，因为密码重置并没有终止攻击者创建的会话 。
(3) 木马标识符攻击 ：攻击者首先使用受害者的电子邮件地址创建一个账户 ，然后添加一个木马标识符 ，例如次要的电子邮件地址或者攻击者控制下的电话号码 。这样 ，免费模板当受害者重置密码，恢复访问权时 ，攻击者就可以使用木马标识符重新获取该账户的访问权 。
(4) 未过期的电子邮件更改攻击：攻击者首先使用受害者的电子邮件地址创建一个账户 ，然后将电子邮件地址更改为自己控制下的地址。当服务向新的电子邮件地址发送验证URL时 ，攻击者便开始等待受害者恢复并使用目标账户 ，然后完成电子邮件更改进程以夺取账户的控制权。
(5) 非验证身份提供程序(IdP)攻击 ：攻击者首先使用非验证的IdP创建一个具有目标服务的源码下载账户 。当受害者通过经典注册路径 ，用相同的电子邮件地址创建账户时，攻击者就获得了该账户的访问权限 。
在对Alexa排名中最受欢迎的前75个网站进行的实证评估中 ，在35个服务上发现了56个预劫持漏洞 。其中包括13个经典-联邦合并攻击，19个未过期的会话标识符攻击 ，12个木马标识符攻击 ，11个未过期的电子邮件更改方式攻击 ，香港云服务器以及一个跨越几个IdP平台的非验证攻击 。
Dropbox —— 未过期的电子邮件更改攻击Instagram —— 木马标识符攻击LinkedIn —— 未过期的会话标识符攻击Wordpress.com —— 未过期的会话标识符攻击以及未过期的电子邮件更改攻击Zoom —— 经典-联邦合并攻击以及非验证身份提供程序(IdP)攻击研究人员表示 ：遭受攻击的根本原因……均是未能核实所声称标识符的所有权。
尽管许多服务的确在执行此种类型的验证 ，但他们通常是异步进行的 ，允许用户可以在标识符被验证之前使用账户的部分功能 。虽然这样可以提高其可用性（减少注册时用户之间的摩擦） ，但同时它也使用户变得更加容易受到预劫持攻击 。”
尽管在服务中实现严格的标识符验证对于缓解预劫持攻击至关重要 ，但同时还是要建议用户尽量使用多因素身份验证(MFA)，来保护他们的账户 。
研究人员表示 ： 正确实施MFA，不仅可以防止攻击者在受害者开始使用预劫持账户后 ，再对该账户进行身份验证 ，而且可以使所有在MFA激活之前创建的会话失效 ，以防止未过期的会话攻击。”
除此之外 ，对于在线服务，建议定期删除那些未经验证的账户 、强制执行低窗口来对电子邮件地址的更改进行验证，并使会话在密码重置期间失效 ，从而实现账户管理的深入防御 。
Sudhodanan和 Paverd 表示 ，服务需要将通过典型路径创建的账户与通过联邦创建的账户进行合并时 ，必须事前确保是用户本人在控制这两个账户 。
点评无论是网络平台还是用户个人 ，安全意识的缺乏都使得预劫持攻击有机可乘 。对于网站或在线平台，事先核实用户实际拥有的所有标识符 ，然后再去创建新账户或将其添加至现有账户是很有必要的。而对于用户 ，应尽可能地启用多因素认证机制 。同时 ，收到并非自己创建的账户邮件也是预劫持攻击的重要迹象 ，需及时向相关平台反馈 。
相关文章
9月5日，结合国家网络安全宣传周进军营，2022年军营网络安全宣传周活动正式启动。这次活动的主题是“文明上网安全用网依法治网，共建共享清朗涉军网络环境”，旨在教育引导官兵深刻认清网络安全的重要地位作用2025-12-07
如今，手机成为人们生活中不可或缺的工具。然而，随之而来的骚扰电话也给人们的生活带来了诸多困扰。特别是触宝电话号码，一度成为用户最头疼的问题之一。本文将介绍如何屏蔽触宝电话号码，并提供一些有效的方法与技2025-12-07
从Mac换到Win10系统（一步步教你将Mac电脑升级为Windows10系统）
在不同操作系统之间进行转换可能会有一些困难和疑惑，尤其是从Mac换到Windows10系统。本文将为您提供一份详细的安装教程，帮助您顺利将Mac电脑升级为Windows10系统。一：备份重要数据在进行2025-12-07
在城市交通日益拥堵的背景下，个人电动车作为一种便捷、环保的出行工具逐渐受到人们的青睐。而快轮作为一种高性能的个人电动车，以其出色的操控性能和先进的科技配置，成为市场上备受瞩目的品牌。本文将详细介绍快轮2025-12-07
引言在当今数字化时代，网络安全已经成为企业和个人生活中不可或缺的一部分。网络攻击的不断演进和加剧使得保护个人隐私、商业机密和国家安全变得尤为重要。然而，网络安全并非仅仅是技术层面的问题，更是一个综合性2025-12-07
使用U盘重新安装系统的步骤详解（简单易懂的U盘系统安装教程）
随着电脑的使用时间增长，系统常常会出现各种问题，如卡顿、崩溃等。此时，重新安装系统是一种常见的解决方法。本文将详细介绍如何使用U盘重新安装系统，帮助读者轻松解决系统问题。准备一台可用的U盘在开始重新安2025-12-07
最新评论