27200美元賞金！安全研究員披露Facebook、Instagram雙因素身份驗證漏洞

近日，一名來自尼泊爾的安全研究員Gtm Mänôz，披露了一個影響Instagram和Facebook的雙因素身份驗證漏洞。在向Meta報告此漏洞後，其將一筆27200美元的賞金收入了囊中。

雙因素身份驗證(2FA)是目前常見的一種保護使用者賬戶安全的手段。它是一種需要提供兩個身份驗證因素以確認身份的身份驗證過程，使用者需要用兩種方式（使用者所知道的和使用者所擁有的，例如密碼和手機收到的驗證碼）證明自己的身份才能獲得賬戶訪問授權。

據悉，該漏洞存在於Facebook母公司Meta用於確認手機號碼和電子郵件地址的元件中。Gtm Mänôz注意到，該元件未對驗證碼做時間和失敗次數校驗，這使得攻擊者在獲知受害者的手機號碼後，能夠暴力破解驗證碼。

而一旦攻擊者成功試出正確的驗證碼，受害者的電話號碼就會與攻擊者使用的賬戶繫結，同時受害者賬戶的雙因素身份驗證也會被停用。攻擊者在此之後就能夠透過釣魚等方式取得受害者密碼，接過受害者賬戶控制許可權。

駭客攻擊成功後，使用者會收到Facebook官方傳送的一封電子郵件，通知其電話號碼在Facebook上被其他人註冊及驗證。

根據Gtm Mänôz部落格時間線，其於2022年9月14日向Meta報告了這個漏洞，IT巨頭Facebook則於2022年10月17日完成了修復，其表示並未發現此漏洞有被濫用的跡象。Meta為Gtm Mänôz的漏洞發現及報告獎勵了27200美元。

部落格連結：https://medium.com/pentesternepal/two-factor-authentication-bypass-on-facebook-3f4ac3ea139c

編輯：左右裡

資訊來源：Meta

轉載請註明出處和本文連結

每日漲知識

安全測試（security tests）

安全測試能夠驗證控制在正常執行。這些測試包括自動掃描、工具輔助滲透測試和手動測試安全性。安全測試應該定期進行，需要關注保護機構的每個關鍵安全控制元件。

﹀

﹀

﹀