作者osanaosana (OSANA)
看板ELSWORD
標題[情報] 有時候,帳號被盜真的不是你的錯
時間Sat Apr 23 10:24:04 2011
http://forum.gamer.com.tw/C.php?bsn=01571&snA=21675
告訴大家帳號被盜的另一種可能性...
官方註冊網頁有"安全漏洞"
簡單說呢...
石器時代官方網頁的註冊功能似乎沒有考慮到"資料隱碼"問題
(帳號名稱裡加入像是 ' " = 等有程式功能的字元
造成原來的程式出錯)
加上重要資料的傳遞過程是公開的
(資料直接接在網址後面)
最後經由善心人士公開解說如何利用上述漏洞
揭露了這毀滅性的bug
(原作者試過可以修改任何一組帳號的密碼、安全密碼)
這些過程只要有稍微碰過資料庫,網頁程式設計的人都不難理解
真是好可怕...
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 61.228.123.64
1F：推 robo3456:所以為了安全我還是花了點錢弄簡訊鎖... 04/23 10:30
2F：推 amethyst9551:這是資訊系列人才才知道的領域... 04/23 10:36
3F：→ osanaosana:樓上的想法我也想過,原作者只需要你的帳號就能改你資料 04/23 10:37
4F：→ osanaosana:我說1f...所以今天除非你能改帳號名稱,否則都是空談... 04/23 10:38
5F：→ osanaosana:這大概就是官方網頁的得獎名單要有XXX遮蔽的緣故 04/23 10:44
6F：→ osanaosana:現在該網頁"好像"已經改進了...真是超有效率 04/23 12:13
7F：推 fossil313:記得這是老手法了 怎麼現在還有這種漏洞...= = 04/23 16:15