作者jameshcm (加个油吧)
看板iPhone
标题[情报] 黑客释出 iCloud 破解工具 ibrute Apple
时间Tue Sep 2 15:53:58 2014
黑客释出 iCloud 破解工具 ibrute Apple 迅速修补漏洞
http://unwire.pro/index.php/2014/09/02/apple-icloud-was-cracked-by-ibrute/
日前闹得热烘烘的荷里活女星相片流出事件
已被证实与 iCloud 及 Find My iPhone 的漏
洞有关，黑客更在照片流出後在网络上发放破解 iCloud 用的工具。而 Apple 亦不甘示
弱，在照片流出後，迅速修补漏洞。
漏洞来自 iCloud 与 Find My iPhone
由匿名黑客推出的 iCloud 破解工具的程式码中可得知，早前大批荷里活女星相片流出的
事件的确与 iCloud 的漏洞有相关。是次事件中，黑客除
利用 iCloud 的漏洞外，Find
My iPhone 上亦有另一个被黑客发现的登入漏洞，导致黑客可以成功轻易骇入 iCloud，
并大举下载目标的私人照片。除照片外，相信受害人的其他个人资料如电邮、联络人、日
历行程亦有机会被盗。
一般而言，若然黑客或用户在
登入页面中出现「撞密码」的行动时，在若干次数後 (一般
多为 5 次左右)，系统就会将该用户拦截，甚至封锁。但黑客发现 Find My iPhone 的
API 则未有相关机制，因此用户可不断尝试各种不同组合的密码。
日前黑客更推出
名为 ibrute 的暴力破解工具，以对目标的 Find My iPhone 帐号发动暴
力破解攻击。此工具将不断尝试各种电子邮件和密码组合而不被系统拦截，部份较为脆弱
的密码在经过暴力破解工具逾万次尝试後终失守，而 Apple 的伺务器亦未有任何警惕。
基於 Apple 的 iOS 预设将用户装置上的照片备份到 iCloud，因此一旦成功破解，黑客
就可以存取目标 iCloud 帐号上的任何资料与备份。据报道指，Apple 已於 1/9 日修补
此漏洞，但目前欧洲部份地区的 Apple 相关服务依然会受到暴力破解。
其实之前就有发现Find My iPhone超过5次密码错误不会锁定的事情，
(开机画面输入错误密码第6次，会锁定1分钟；之後每多一次，锁定时间会越来越长)
但却没联想到可以拿来骇iCloud.... -_-
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 36.239.239.65
※ 文章网址: http://webptt.com/cn.aspx?n=bbs/iPhone/M.1409644442.A.CA3.html
1F：推 siro0207: 我记得备份功能并不是预设开启 09/02 15:59
2F：→ siro0207: 另外有一篇新闻是说 这暴力破解已经很久了 所以才会有几 09/02 16:01
3F：→ siro0207: 年前的照片 不过为什麽会有三星的照片? 09/02 16:03
4F：→ siro0207: 恩...有一个可能是别人用三星拍後 传给iphone 09/02 16:04
5F：→ siro0207: 还有就是这应该是从windows电脑登入iCloud控制面板取得 09/02 16:11
6F：→ siro0207: 照片 因为不管是在mac或iOS登入iCloud的话 都会寄信通知 09/02 16:12
7F：→ siro0207: 苹果除了修这漏洞外 应该赶快弄好windows的iCloud控制面 09/02 16:12
8F：→ siro0207: 版 09/02 16:12
9F：推 victoryss: 不过hack如何得知目标信箱帐号? 09/02 16:52
10F：→ victoryss: 还好我照片平常就是关闭备份 虽然鲁蛇也没啥好看XD 09/02 16:52
11F：推 slent67: 把twitter的帐号 後面家gmail hotmail icloud 等等的 09/02 16:55
12F：→ slent67: 就有帐号了呀 09/02 16:55
13F：→ slent67: 百分之九十命中目标 09/02 16:55
14F：→ SicInfit: 国外 09/02 17:09
15F：→ SicInfit: 明明还在查，被几个网站转一转又变成证实了… 09/02 17:09
16F：→ shcjosh: 用@icloud.com 的话应该是100%了吧XD 这不能改的 09/02 17:09
17F：推 skhan: 之前我发现删某个档案可以重新计算密码错误次数 可以一直猜 09/02 18:45
18F：嘘 Rigaudon: 假新闻帮低调 09/02 19:16
19F：嘘 Rigaudon: 假新闻帮低调 09/02 19:24
20F：推 a100900: 看过这程式的字典档，满多密码的 09/02 21:52
21F：→ skhan: 字典档跟其它暴力破解程式的一样通用吧？ 09/02 21:58