谷歌修复导致泄露任意用户手机号码的漏洞 向研究人员提供5000美元奖金

四月份有研究人员发现谷歌账户系统存在安全漏洞，借助此漏洞研究人员可以获取任意用户绑定的手机号码，并且整个过程被获取手机号码的用户不会收到任何提醒。

这个漏洞最初由独立安全研究人员 brutecat 发现并通报给谷歌，漏洞主要位于谷歌账户恢复功能中，漏洞利用多个由独立进程协同工作的供应链操作，整个过程较为复杂但走通整个流程后后续过程会变得比较简单。

具体来说研究人员利用漏洞可以绕过谷歌实施的反机器人保护机制，该机制正常情况下会限制用户发送密码重置请求的频率，但研究人员能够绕过漏洞并使用遍历方式进行排列组合。

手机号码的位数基本固定且全部都是数字，所以通过遍历方式进行排列组合爆破用户的手机号码并不是难事，基于此研究人员编写脚本让整个攻击可以自动化，正常情况下可以在 20 分钟甚至更短时间内找出账户的真实号码。

找出目标账户的真实号码后就可以进行多种利用，例如冒充谷歌发送安全提醒要求用户输入密码进行确认，对于高价值用户还可以采用 SIM 换卡攻击来控制这个谷歌账户。

现在谷歌已经在账户系统里将这个漏洞彻底修复，谷歌称这起案例也再次凸显通过漏洞奖励计划与安全研究社区合作的重要性，谷歌感谢报告漏洞的研究人员并提供 5000 美元的漏洞奖金。

另外谷歌经过调查后确认在漏洞修复前没有发现任何与该漏洞有直接关联的攻击事件，所以没有用户的真实手机号码在此次安全事件中被泄露。

[超站]友情链接：

四季很好，只要有你，文娱排行榜：https://www.yaopaiming.com/
关注数据与安全，洞悉企业级服务市场：https://www.ijiandao.com/