推特零日漏洞遭利用， 540萬個賬戶資料洩露

上個月，有駭客以30000美元出售最大社交媒體平臺之一推特Twitter的540萬個賬戶的資料。推特在對此事進行調查後，於8月5日釋出公告證實，這些賬戶資訊是利用其一個現已修復的漏洞獲取的。

這個漏洞於2022年1月由zhirinovskiy透過漏洞賞金平臺HackerOne提交，推特獲悉後立即進行調查並修復了該漏洞，並且獎勵了zhirinovskiy 5040美元的賞金。

由於該漏洞的存在，任何人透過向Twitter系統提交電子郵件地址或電話號碼，就能夠驗證其是否與Twitter帳戶關聯，並檢索相關聯的帳戶ID。然後，攻擊者會進一步使用此ID抓取該帳戶的公共資訊。

漏洞提交者zhirinovskiy在提交該漏洞時評價道：

“這是一個嚴重的威脅，因為人們不僅可以找到那些本已經設定了電子郵件/電話號碼無法發現的使用者，而且任何具備指令碼/編碼基礎知識的攻擊者都可以列舉Twitter使用者群的很大一部分，這些使用者群之前是無法列舉的（建立一個包含電話/電子郵件關聯使用者名稱的資料庫）。此類資料庫可以出售給惡意方用於廣告目的，或用於在各種惡意活動中標記名人。簡而言之，這可能導致許多使用者失去隱私。”

當時，推特表示沒有證據表明有人利用了這個漏洞。2022年7月，推特在檢視了駭客計劃出售的資料的樣本後，確認有不法分子在問題得到解決之前就已經利用了該漏洞。

該不法分子在駭客論壇上發的帖子現在仍然有效，資料售價30000美元，據悉已有兩人購買。

有人下載了樣本資料庫進行驗證和分析。發現這些資料包括來自世界各地的人，具有公開的個人資料資訊以及與帳戶關聯的電子郵件或電話號碼。經查實，所有樣本都與現實世界的人相匹配。

編輯：左右裡

資訊來源：twitter

轉載請註明出處和本文連結

每日漲知識

模糊測試（Fuzzing）

一種透過向目標系統提供非預期的輸入並監視異常結果來發現軟體漏洞的方法。

﹀

﹀

﹀