一个漏洞让黑客在10分钟内接管任何Instagram帐户

华盟君引言“Instagram的 最近解决了一个严重的缺陷，可能让黑客无需任何用户互动即可接管任何Instagram帐户。”

Instagram最近解决了一个关键漏洞，可能让攻击者在没有用户交互的情况下完全接管任何帐户。

该消息首先由TheHackerNews 报道，该问题由印度安全专家Laxman Muthiyah向Facebook拥有的照片共享服务报道。

根据Muthiyah的说法，这个漏洞影响了Instagram为移动版服务实现的“密码重置”机制。什么时候Instagram用户请求要恢复他们的密码，他们必须确认发送到他们的相关手机号码或电子邮件帐户的六位数密码（在10分钟后过期）。这意味着要更改工作案例中的密码，攻击者需要尝试一百万种可能的组合。

专家将测试重点放在允许的最大请求数上，并发现没有列入黑名单。他能够连续发送请求而不会被阻止，即使他达到了他可以在一小部分时间内发送的最大请求数。

“当用户输入他/她的手机号码时，他们将向他们的手机号码发送一个六位数的密码。他们必须输入它才能更改密码。因此如果我们能够在验证码端点上尝试所有一百万个代码，我们可以更改任何帐户的密码。“阅读专家的分析。“但我很确定必须对这种蛮力攻击进行速率限制。我决定对它进行测试。“ ”令人印象深刻的两件事是请求的数量和没有列入黑名单。“

最后，他发现了两件让他绕过限速机制，竞争条件和IP轮换的事情。

“使用多个IP发送并发请求允许我发送大量请求而不受限制。”专家解释道。“我们可以发送的请求数量取决于请求的并发性和我们使用的IP数量。此外，我意识到代码在10分钟后到期，它使攻击更加困难，因此我们需要1000个IP来执行攻击。“

总结速率限制可以通过从不同的IP地址执行暴力攻击并利用竞争条件，发送并发请求来绕过速率限制。