打破双因素认证神话 XSS拿下“遇见”后台

双因素认证并非神话:因拖库泄露密码等事件的影响,网络游戏、网银或后台登陆均开始采用U盾、数字令牌等。

乌云上有起直打软肋的案例,说到底:登陆的安全级别高了,但之后的认证信息依然脆弱容易泄露,黑客换了个角度就又是一轮血雨腥风。

可以看到,“遇见”管理后台采用了UKEY方式,一般而言,没有UKEY是无法登录的。

1_cr

然而……屌丝黑客还是进来了……为了白富美!

2_cr

信息足够详细……活动区域赫然在目!

3_cr

当然,有些信息……比如生日、所在地等,也是写在里面的……

4_cr

看完,你还感觉用UKEY登录就安全吗?很遗憾,毁了UKEY在各位亲心中高大、美好、强壮的形象。

注:本文信息来自乌云新浪微博及乌云网站,详细地址:点这里