PRMitM攻擊：在帳戶註冊過程中重置受害者的其它密碼

更多全球網路安全資訊盡在E安全官網www.easyaq.com

E安全6月27日訊，4名以色列科學家發布研究論文，詳細描述了一種新型攻擊，即「密碼重置中間人攻擊」（PRMitM），引導受害者在目標網站進行註冊，並在註冊過程中偷偷重置該受害者的其它密碼。

PRMitM屬於社會工程類攻擊，其要求攻擊者說服或誘騙潛在受害者在陷阱網站上註冊個人資料。

PRMitM攻擊如何操作？

PRMitM攻擊要求攻擊者創建特殊後端，將數據輸入到註冊頁面，並發送至另一站點的密碼重置系統。

例如，當受害者在陷阱網站的註冊頁面輸入用戶名或電子郵件，惡意網站的後端會將這類信息發送至Google、Yandex或Yahoo目標頁面，從而啟動密碼重置操作。

如果密碼重置服務要求完成各種安全設置，例如驗證碼、安全問題或簡訊驗證碼，攻擊者便會通過新程序更新註冊程序，要求用戶在註冊頁面輸入這類信息。

簡訊一樣要看完？

PRMitM攻擊只對接管電子郵箱賬戶有效，因為如今大多數網站會通過電子郵件發送密碼重置鏈接。然而，電子郵件提供商會通過其它方式處理該過程，例如驗證碼、安全問題或簡訊驗證碼。

E安全提醒那些粗心大意的用戶注意，研究人員在測試期間證明，許多用戶在註冊頁面輸入了所有要求輸入的信息，絲毫沒有注意到有人在嘗試入侵他們的賬號。甚至當受害者通過簡訊驗證碼時，大多數用戶會在手機通知欄讀取驗證碼，而不會查看完整的簡訊內容。諸如Twitter或Facebook在內的網站會在簡訊中闡明驗證碼的真實用途（例如密碼重置、註冊等）。讀取完整的簡訊會讓用戶免遭這類攻擊。

E安全再次提醒大家，以後看簡訊信息別看個「驗證碼」就完了，請務必全文閱讀！

密碼重置鏈接

密碼重置時，請使用簡訊等多種方式發送密碼，勿僅限於電子郵件。

為了防止PRMitM攻擊，研究人員建議，如果網站或服務提供商取消了電子郵件發送密碼重置服務，應至少採用簡訊發送密碼重置鏈接。

當某人試圖在另一網站註冊時，通過簡訊接收密碼重置鏈接會提醒受害者可能存在風險。

儘管如此，這種緩解措施無法保護受害者免受國家攻擊者發起這類攻擊，這類攻擊者具有資源可以利用SS7協議中的漏洞，並劫持手機號碼，在自己的手機上接收密碼重置通知。

27

E安全推薦文章

官網：www.easyaq.com

2017年6月

01

02

03

04

05

06

07

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！