建站
咨詢
售后
建站咨詢
新聞中心
專門評測各種網(wǎng)絡(luò)服務(wù)的Website Planet針對了熱門的5個(gè)網(wǎng)站代管平臺展開調(diào)查，發(fā)現(xiàn)它們或多或少都具備安全漏洞，用戶只要點(diǎn)選一個(gè)連結(jié)或造訪惡意網(wǎng)站，帳號就可能被黑客接管。
在彝良等地區(qū)，都構(gòu)建了全面的區(qū)域性戰(zhàn)略布局，加強(qiáng)發(fā)展的系統(tǒng)性、市場前瞻性、產(chǎn)品創(chuàng)新能力，以專注、極致的服務(wù)理念，為客戶提供網(wǎng)站建設(shè)、網(wǎng)站制作 網(wǎng)站設(shè)計(jì)制作按需定制網(wǎng)站,公司網(wǎng)站建設(shè),企業(yè)網(wǎng)站建設(shè),高端網(wǎng)站設(shè)計(jì),網(wǎng)絡(luò)營銷推廣,成都外貿(mào)網(wǎng)站建設(shè),彝良網(wǎng)站建設(shè)費(fèi)用合理。
Website Planet所調(diào)查的5家網(wǎng)站代管平臺涵蓋了Bluehost、Dreamhost、HostGator、OVH及iPage，顯示這5個(gè)平臺都至少含有一個(gè)安全漏洞。
其中的Bluehost含有4個(gè)安全漏洞，其中一個(gè)是因跨域資源共享(Cross-Origin Resource Sharing，CORS)的配置錯(cuò)誤，將允許黑客竊取個(gè)人資訊、部份的支付細(xì)節(jié)，以及使用者用來存取WordPress、Mojo或SiteLock等基于OAuth的權(quán)杖。
另一個(gè)漏洞則是源自于Bluehost在處理請求及驗(yàn)證上的配置錯(cuò)誤，允許黑客竄改Bluehost用戶的電子郵件位址，在誘導(dǎo)使用者點(diǎn)選惡意連結(jié)或造訪惡意網(wǎng)站之后，可用新郵件位址送出密碼重設(shè)函，進(jìn)而接管使用者帳號。
還有一個(gè)漏洞肇因于Bluehost未能適當(dāng)驗(yàn)證CORS，而讓位于同一網(wǎng)絡(luò)(如公開Wi-Fi網(wǎng)絡(luò)或區(qū)域網(wǎng)絡(luò))中的黑客以明文讀取受害者的Bluehost流量。且my.bluehost.com亦含有跨站指令碼(XSS)攻擊漏洞，允許黑客新增或變更屬性，若變更了用戶的電子郵件帳號，就能藉由重設(shè)密碼取得帳號權(quán)限。
Dreamhost則同樣含有XSS漏洞，也可用來變更電子郵件帳號并取得Dreamhost平臺的帳號權(quán)限。不論是Bluehost或Dreamhost的XSS漏洞都因平臺在使用者變更電子郵件帳號時(shí)未要求輸入密碼，而簡化了攻擊流程。
至于HostGator的問題則出在于該平臺雖然部署了跨站請求偽造(CSRF)的保護(hù)機(jī)制，卻可透過變更參數(shù)來繞過該機(jī)制，因而允許黑客編輯用戶個(gè)人檔案，包括電子郵件及個(gè)人資訊，進(jìn)而取得帳號權(quán)限。此外，該平臺同樣存在著配置錯(cuò)誤的CORS，可引發(fā)中間人攻擊及資訊外泄。
OVH平臺的CSRF保護(hù)機(jī)制同樣可被繞過而讓黑客接管帳號權(quán)限，另還存在API配置錯(cuò)誤的問題，允許任何網(wǎng)站讀取OVH的API回應(yīng)。
iPage上的帳號接管漏洞則有些匪夷所思，主要因?yàn)樵撜镜拿艽a變更服務(wù)并不需要輸入現(xiàn)有密碼，于是任何網(wǎng)站都能夠透過傳送跨域請求，以受害者的使用者名稱來設(shè)定新密碼。
再者，iPage亦含有屬性安全政策繞過漏洞，允許黑客注射惡意屬性，進(jìn)而執(zhí)行中間人攻擊或跨站攻擊。
安全研究人員Paulos Yibelo指出，上述漏洞都很容易開采，意味著使用者不管采用了哪個(gè)代管服務(wù)，都應(yīng)該采取其它措施來強(qiáng)化網(wǎng)站的安全性。
網(wǎng)站欄目：Website Planet實(shí)測：5個(gè)熱門網(wǎng)站代管平臺皆含有安全漏洞
網(wǎng)頁鏈接：http://www.5511xx.com/article/djpjphe.html
