微软登录系统出现漏洞，Office帐户安全存在风险

2018-12-12 14:22

据悉，微软的登录系统出现了一连串的链接漏洞错误，黑客只需要欺骗用户点击链接，就可以轻松访问用户的微软帐户。

来自印度的漏洞猎手Sahad Nk发现微软的子域“success．office．com”没有被正确配置。他使用CNAME记录——一个用于将一个域链接到另一个域的规范记录——将未配置的子域指向他自己的Azure实例。通过这一过程，他可以控制子域名，以及发送给它的任何数据。

这本身并不是什么大问题，但Nk还发现，当用户通过微软的Live登录系统登录后，可以欺骗Microsoft Office、Store和Sway应用，将其经过身份验证的登录令牌发送到他新控制的域名中。

这是因为易受攻击的应用使用了通配符正则表达式，可以允许所有office．com——包括他新控制的子域名——被信任。

例如，一旦受害者点击电子邮件中发送的特制链接，用户将使用他们的用户名和密码通过微软的登录系统登录，如果用户设置了双重认证，则会创建一个帐户访问令牌，让用户无需一次又一次地输入密码即可登录。获取帐户访问令牌相当于拥有用户的凭据，并允许攻击者无缝地侵入该用户的帐户，通常也不会发出任何警报或触发任何警告。（它们与今年早些时候让超过3000万Facebook帐户面临风险的帐户令牌属于同一类。）

但恶意URL则会指示微软的登录系统将帐户令牌传递给Nk的受控子域，如果该子域受到恶意攻击者的控制，可能会使无数帐户面临风险。最糟糕的是，恶意URL看起来是合法的，因为用户仍然通过微软的系统登录，并且URL中的“wreply”参数看起来也并不可疑。

换句话说，任何人的Office帐户，甚至企业和公司帐户，包括他们的电子邮件、文档和其他文件，都可以被恶意攻击者轻松访问，而且几乎不可能从合法用户中辨别出来。

在Paulos Yibelo的帮助下，Nk向微软报告了这个漏洞，微软迅速修复了这一问题。

“微软安全响应中心在2018年11月完结了此案。”微软发言人在一封电子邮件中证实了这一消息。他解释说，微软通过删除指向NK的Azure实例的CNAME记录，修复了该错误。

微软也向Nk支付了巨额奖金。