首页 ›资讯› 安全 › 查看内容

这个漏洞技术有点低，Gmail可被穷举出大量邮箱地址

2017-5-13 01:00 |来自: 互联网 8290 0

摘要: 近日一位网名为“x0rz”的安全研究人员在某0day网站声称，他发现了Google的一个小漏洞，可以大批量猜解存活的Google账户。漏洞描述谷歌服务器上存在一个不限流的URL, https://mail.google.com/mail/gxlu。如果提交一 ...

近日一位网名为“x0rz”的安全研究人员在某0day网站声称，他发现了Google的一个小漏洞，可以大批量猜解存活的Google账户。

漏洞描述

谷歌服务器上存在一个不限流的URL, https://mail.google.com/mail/gxlu。如果提交一个不存在的用户名或邮箱地址将会触发服务器返回一个异常的响应头。例如，提交一个有效账户响应如下：

$ curl -v https://mail.google.com/mail/gxlu?email=

提交一个不存在的账户，响应头则是这样的：

$ curl -v https://mail.google.com/mail/gxlu?email=

这两个请求都会返回HTTP 204(no content)响应，但是存在账户的请求所返回的内容中应当有Set-Cookie项。

猜解有效地址

“x0rz”随后用python写了一个脚本来暴力穷举可能存在的有效Google账户。主要思路是用穷举法批量生成类似 [email protected] 的邮箱地址，然后逐个提交验证。这个方法非常粗暴直接，主要难点在于如何生产大量的账户数据。“x0rz”使用两种方法来生成账户：一种是利用从Facebook上抓取的人名数据和一份2010年网上流出的类似数据表来批量生成账户；另一种方法更简单，直接通过randomuser.me来生成人名。尽管该“POC”非常粗糙且未经优化，“x0rz”用他的脚本每天大概可以猜解出40，000个有效的邮箱地址。

带来的危害

在正常情况下，大部分邮箱地址都是非公开的，人们都想有自己的隐私，都不希望自己的邮箱被垃圾邮件塞满。

暴力穷举可以很轻易的被限制，防范的方法也很简单：如通过验证码验证，限制流量等等。Google的大部分服务都提供了诸如此类的防护，举个例子，如果你通过Tor访问Google，那么几乎所有的地方都会要求你输入验证码。

一个非公开邮箱地址被猜到/破解的几率有多大？

“x0rz”使用haveibeenpwned.com 网站提供的API进行了测试，测试一个随机生成的或者真实有效的邮箱地址有多大几率出现在某个泄漏的账号数据库中，测试结果表明这个几率并不大。只有 8.41%的被测邮箱地址出现在此类数据库中。值得一提的是，“x0rz”用来测试的邮箱地址中有很多已经不是活跃账户了，甚至包括一些未启用过的地址。“x0rz”给出了一个邮箱地址出现在某个账号数据库中的几率：

- River City Media Spam List (4,98%)

- SC Daily Phone Spam List (2,63%)

- LinkedIn (2,46%)

- Dropbox (1,52%)

- MySpace (1,37%)

- Adobe (1,33%)

- Modern Business Solutions (1,14%)

- Special K Data Feed Spam List (1,01%)

- Tumblr (0,73%)

- Last.fm (0,51%)