他山之石可以攻御

他山之石可以攻御@呆子不開(kāi)口

/呂偉關(guān)于我微博網(wǎng)友平凡安全從業(yè)者足球厄齊爾和藹可親王剛李霞德?lián)渑种心昴凶荧@錘子手機(jī)軟文大賽一等獎(jiǎng)英?。ňW(wǎng)名）他山之石可以攻御當(dāng)攻擊者想要攻擊某個(gè)安全防御的時(shí)候，可能不會(huì)硬碰硬有一些其他正常功能或攻擊方式可以幫他繞過(guò)你的防御“繞過(guò)”大多無(wú)需專(zhuān)業(yè)漏洞挖掘技術(shù)，其中有一些沒(méi)有“技術(shù)”含量足協(xié)U23新政首發(fā)必須得有一名23歲以下國(guó)內(nèi)球員足協(xié)目的是鍛煉年輕隊(duì)員俱樂(lè)部選擇快速換下首發(fā)的U23隊(duì)員來(lái)繞過(guò)此新政資產(chǎn)的概念需要我們要保護(hù)的，可以是具體的對(duì)象，可以是預(yù)期實(shí)現(xiàn)的功能，……U23新政的漏洞足協(xié)的資產(chǎn)：想要實(shí)現(xiàn)的是鍛煉年輕隊(duì)員足協(xié)的防護(hù)：至少一名U23球員必須首發(fā)應(yīng)該的防護(hù)：比如，至少一名U23球員必須打滿80分鐘以上，首不首發(fā)甚至都不重要治標(biāo)不治本，誤解了自己要防護(hù)的資產(chǎn)資產(chǎn)的防御被繞過(guò)

事不關(guān)己——不清楚哪些是資產(chǎn)滄海桑田——不清楚自己有哪些資產(chǎn)忘了初心——治標(biāo)不治本，誤解了自己要防護(hù)的資產(chǎn)心有余而力不足——防御能力保護(hù)不了自己的資產(chǎn)心存僥幸——防護(hù)目前沒(méi)有覆蓋全我家大門(mén)常打開(kāi)——隔離設(shè)計(jì)有問(wèn)題，或其他功能非常接近你的資產(chǎn)眼前的黑不是黑，你說(shuō)的白是什么白——白名單的防護(hù)薄弱接下來(lái)我要舉很多栗子案例中的漏洞部分都已經(jīng)修復(fù)查看微博問(wèn)答的匿名圍觀ID.png查看微博問(wèn)答的匿名圍觀ID

事不關(guān)己——不清楚哪些是資產(chǎn)我家大門(mén)常打開(kāi)——隔離設(shè)計(jì)有問(wèn)題，或其他功能非常接近你的資產(chǎn)張愛(ài)朋老師的故事.png張愛(ài)朋老師的故事

事不關(guān)己——不清楚哪些是資產(chǎn)滄海桑田——不清楚自己有哪些資產(chǎn)連接wifi就可以查看攝像頭

事不關(guān)己——不清楚哪些是資產(chǎn)滄海桑田——不清楚自己有哪些資產(chǎn)忘了初心——治標(biāo)不治本，誤解了自己要防護(hù)的資產(chǎn)我家大門(mén)常打開(kāi)——隔離設(shè)計(jì)有問(wèn)題，或其他功能非常接近你的資產(chǎn)某智能能電視的手機(jī)app只要和電視在同一個(gè)wifi內(nèi)就可以連接電視遙控操作電視但給電視安裝應(yīng)用時(shí)，需輸入電視上出現(xiàn)的驗(yàn)證碼。但app上有個(gè)“橫屏鏡像”功能，此時(shí)我再用另外一個(gè)手機(jī)去鏡像查看這個(gè)驗(yàn)證碼就可以了橫屏鏡像功能可以操作電視的系統(tǒng)桌面，但有些敏感功能無(wú)法點(diǎn)開(kāi)，比如系統(tǒng)設(shè)置什么的。有個(gè)內(nèi)置功能可以查看此賬號(hào)綁定的家里的攝像頭，也無(wú)法點(diǎn)擊進(jìn)入。但利用上面已經(jīng)突破的安裝應(yīng)用功能，可以給電視上裝一個(gè)此品牌攝像頭的管理app，然后打開(kāi)此app，也可以查看攝像頭的內(nèi)容繞過(guò)雙因素驗(yàn)證

突破雙因素進(jìn)微博

在一種攻擊中，拿到用戶sso的ticket可以登錄進(jìn)用戶的微博。但如果用戶開(kāi)啟雙因素認(rèn)證，進(jìn)web版需要驗(yàn)證手機(jī)驗(yàn)證碼。但如果跳到wap版本，則不需要淘寶異地登錄風(fēng)控繞過(guò)

拿到用戶的某種自動(dòng)登錄憑證可以進(jìn)入用戶的淘寶，但如果是異地登錄會(huì)驗(yàn)證手機(jī)。但淘寶旺旺的彈框中的自動(dòng)登錄的url則沒(méi)有此限制，可能是因?yàn)橛脩趔w驗(yàn)的原因，彈框中沒(méi)法再做雙因素驗(yàn)證

突破雙因素登陸管理后臺(tái)

某產(chǎn)品的web版管理員賬號(hào)做了雙因素認(rèn)證，并且雙因素登錄后的憑證和非雙因素的憑證一樣。app沒(méi)有管理員功能，但app端登錄沒(méi)有做雙因素認(rèn)證，盜號(hào)者可以用管理員的密碼登錄app端，獲取cookie后再去web版登錄

某手機(jī)系統(tǒng)手機(jī)初始化同步照片功能繞過(guò)云端的手機(jī)驗(yàn)證碼

某手機(jī)系統(tǒng)的云端查看用戶照片短信等信息時(shí)需要驗(yàn)證手機(jī)驗(yàn)證碼。但如果手機(jī)初始化的同步功能，可以不用手機(jī)驗(yàn)證碼就可以同步用戶的照片和短信繞過(guò)雙因素驗(yàn)證

滄海桑田——不清楚自己有哪些資產(chǎn)忘了初心——治標(biāo)不治本，誤解了自己要防護(hù)的資產(chǎn)心存僥幸——防護(hù)目前沒(méi)有覆蓋全我家大門(mén)常打開(kāi)——隔離設(shè)計(jì)有問(wèn)題，或其他功能非常接近你的資產(chǎn)被拉黑后仍然可以轉(zhuǎn)發(fā)他人微博被拉黑后不能轉(zhuǎn)發(fā)他的微博，也不能評(píng)論并轉(zhuǎn)發(fā)但我覺(jué)得樓主說(shuō)的棒，迫切想轉(zhuǎn)發(fā)被拉黑后仍然可以轉(zhuǎn)發(fā)他人微博別人轉(zhuǎn)發(fā)了他的微博，發(fā)現(xiàn)我也不可以轉(zhuǎn)別人的。我心急如焚被拉黑后仍然可以轉(zhuǎn)發(fā)他人微博但這種方式易被看穿，并且不是直接轉(zhuǎn)發(fā)，體驗(yàn)不好可以找個(gè)轉(zhuǎn)發(fā)語(yǔ)多的微博，然后再評(píng)論轉(zhuǎn)發(fā)。由于總字?jǐn)?shù)大于140，他人的轉(zhuǎn)發(fā)語(yǔ)會(huì)被系統(tǒng)丟棄，就只剩你的轉(zhuǎn)發(fā)語(yǔ)了有個(gè)方式可以轉(zhuǎn)發(fā)找到一個(gè)轉(zhuǎn)發(fā)此微博的他人的微博，然后評(píng)論并轉(zhuǎn)發(fā)此微博，就可以轉(zhuǎn)發(fā)成功被拉黑后仍然可以轉(zhuǎn)發(fā)他人微博滄海桑田——不清楚自己有哪些資產(chǎn)忘了初心——治標(biāo)不治本，誤解了自己要防護(hù)的資產(chǎn)心存僥幸——防護(hù)目前沒(méi)有覆蓋全我家大門(mén)常打開(kāi)——隔離設(shè)計(jì)有問(wèn)題，或其他功能非常接近你的資產(chǎn)https的劫持插入廣告回源請(qǐng)求使用http，被攻擊者劫持心存僥幸——防護(hù)目前沒(méi)有覆蓋全查看被別人轉(zhuǎn)發(fā)到朋友圈或私人可見(jiàn)的微博

事不關(guān)己——不清楚哪些是資產(chǎn)滄海桑田——不清楚自己有哪些資產(chǎn)我家大門(mén)常打開(kāi)——隔離設(shè)計(jì)有問(wèn)題，或其他功能非常接近你的資產(chǎn)當(dāng)你的微博被別人轉(zhuǎn)發(fā)到他的朋友圈且你若不和他互粉，或者被轉(zhuǎn)發(fā)到他的私人可見(jiàn)。你是看不到他的轉(zhuǎn)發(fā)語(yǔ)的但通過(guò)微博的一些其他功能的api可以獲得轉(zhuǎn)發(fā)id的列表。查出隱藏轉(zhuǎn)發(fā)的id再通過(guò)一個(gè)api可以查看到微博的內(nèi)容每一處都沒(méi)有做權(quán)限限制某支付功能可以變相信用卡套現(xiàn)忘了初心——治標(biāo)不治本，誤解了自己要防護(hù)的資產(chǎn)我家大門(mén)常打開(kāi)——隔離設(shè)計(jì)有問(wèn)題，或其他功能非常接近你的資產(chǎn)某支付產(chǎn)品轉(zhuǎn)賬功能不可以使用信用卡。但有一個(gè)代付功能。代付的人卻可以使用信用卡完成代付某種方式發(fā)微博可以繞過(guò)廣告屏蔽

事不關(guān)己——不清楚哪些是資產(chǎn)心有余而力不足——防御能力保護(hù)不了自己的資產(chǎn)心存僥幸——防護(hù)目前沒(méi)有覆蓋全眼前的黑不是黑，你說(shuō)的白是什么白微博會(huì)不允許某些賬號(hào)直發(fā)廣告內(nèi)容但是某官方平臺(tái)上功能發(fā)出的微博可以任意發(fā)廣告只要發(fā)微博的來(lái)源是此平臺(tái)就可以發(fā)廣告。并且不通過(guò)平臺(tái)合法功能，直接發(fā)出帶此來(lái)源的微博的方式也有不少，所以被很多發(fā)廣告的人利用一些常見(jiàn)敏感功能的副作用我家大門(mén)常打開(kāi)——隔離設(shè)計(jì)有問(wèn)題，或其他功能非常接近你的資產(chǎn)

賬號(hào)找回功能被壞人用來(lái)盜號(hào)

很多賬號(hào)找回功能為了用于體驗(yàn)，在用戶未提供足夠可信身份的狀態(tài)下，也允許用戶找回賬號(hào)成功。這樣攻擊者就也可以利用此功能盜號(hào)某支付產(chǎn)品收付款碼在一起

存在一點(diǎn)風(fēng)險(xiǎn)，就是攻擊者借付款的名義騙走你的條碼，然后用于收款功能

二維碼掃描登錄被盜號(hào)者利用

如果二維碼掃描功能里的登錄和加好友等功能沒(méi)做隔離，并且防護(hù)薄弱。你若掃了他人發(fā)的二維碼，若那個(gè)碼是用來(lái)登錄的，攻擊者就可以登錄你的賬號(hào)了

幾類(lèi)風(fēng)險(xiǎn)一些攻擊或漏洞類(lèi)型，也是用的此類(lèi)思想古老的旁注我家大門(mén)常打開(kāi)——隔離設(shè)計(jì)有問(wèn)題，或其他功能非常接近你的資產(chǎn)url跳轉(zhuǎn)漏洞用可信白名單域的url來(lái)跳轉(zhuǎn)到攻擊url利用了信任關(guān)系完成對(duì)某些防御的繞過(guò)

忘了初心——治標(biāo)不治本，誤解了自己要防護(hù)的資產(chǎn)眼前的黑不是黑，你說(shuō)的白是什么白日志里泄露敏感信息

事不關(guān)己——不清楚哪些是資產(chǎn)滄海桑田——不清楚自己有哪些資產(chǎn)忘了初心——治標(biāo)不治本，誤解了自己要防護(hù)的資產(chǎn)敏感數(shù)據(jù)在數(shù)據(jù)庫(kù)中已經(jīng)加密，但卻在web或應(yīng)用日志中被明文記錄Github泄露大量資產(chǎn)

事不關(guān)己——不清楚哪些是資產(chǎn)我家大門(mén)常打開(kāi)——隔離設(shè)計(jì)有問(wèn)題，或其他功能非常接近你的資產(chǎn)Gitbub上可以搜到大量公司的密碼、key等敏感資產(chǎn)解決方案

事不關(guān)己——不清楚哪些是資產(chǎn)（有安全意識(shí)，知道哪些是重要資產(chǎn)。別人值錢(qián)的東西要謹(jǐn)慎使用）滄海桑田——不清楚自己有哪些資產(chǎn)（架構(gòu)設(shè)計(jì)要低耦合，資產(chǎn)不要到處給別人）忘了初心——治標(biāo)不治本，誤解了自己要防護(hù)的資產(chǎn)（知道自己要保護(hù)的是什么，盡量從底層做防護(hù)。條條大路通羅馬，羅馬城門(mén)設(shè)關(guān)卡）心有余而力不足——防御能力保護(hù)不了自己的資產(chǎn)（提高防御能力。學(xué)習(xí)，培訓(xùn)，招人，花錢(qián)……）