UWP 智机网 新闻 查看内容

留心,黑客利用Chrome的Bug窃取密码

2017-5-18 10:55| 发布者: Hsiny| 查看: 3408| 评论: 15 |来自: 智机网论坛

摘要: 新的 BUG 被发现,黑客可以利用这个 Bug 窃取 Windows 10 平台上保存在 Chrome 里的密码。

最近,Google 发现了 Windows Defender 以及 Internet Explorer 和 Edge 存在 Bug,导致 Google 和 Microsoft 在合作中似乎并不是那么的愉快。然而这一次,又有一个新的 Bug 被发现,这会让两边的技术巨头承担这个重大过失。因为黑客可以利用这个 Bug 窃取 Windows 10 平台上保存在 Chrome 里的密码。

留心,黑客利用Chrome的Bug窃取密码

虽然 Google 表示正在修复这个漏洞,但是最近防御码安全研究员 Bosko Stankovic 详细介绍了如何利用这个 Bug 诱导最新版本的 Chrome 下载 SCF 文件(显示桌面图标快捷方式),进而避开 Windows 监护让黑客捕获到用户的 LAN Manager(NTLMv2)密码哈希值。

该 SCF 文件的下载请求是在 Windows 文件资源管理器中打开下载目录查看文件的时候触发,立马删除它或与其他关联的文件。没有必要直接单击或打开这个下载文件,Windows 文件浏览器将自动尝试检索“图标”。攻击者设置的远程 SMB 服务器来捕获受害者的用户名和 NTLMv2 密码哈希值用来脱机破解,或将连接转发到接受相同类型身份验证的外部可用服务(例如 Microsoft Exchange)来假装忘记密码的用户。

目前,攻击者只需要引诱受害者(使用完全更新的 Google Chrome 和 Windows)来访问他的网站,以便能够继续使用受害者的身份验证凭据。即使受害者不是特权用户(例如管理员),这种漏洞还是可能会对大型组织构成重大威胁,因为攻击者可以冒充组织成员。这样的攻击者可以立即使用已获得的权限,以进一步升级访问并对其他用户执行攻击,或获取对 IT 资源的访问和控制。

这个缺陷利用的就是 Chrome 和 Windows 处理 SCF 文件的方式。Chrome 不会将这些类型的文件标记为恶意文件,并且不会以恶意方式扫描这些文件,Chrome 会在文件下载后依赖于默认的 Windows 设置。因此,用户甚至不需要单击或打开该文件,并且 Windows Explorer 将在用户进入下载目录时自动尝试检索图标,导致捕获 LAN Manager(NTLMv2)密码哈希值。

所以为了保护好自己的密码,建议智友们进入“设置”>“显示高级设置”,然后选中“在下载前询问在哪里保存每个文件”选项以避免黑客的攻击。

via: www.onmsft.com
智机网UWP工具
发表评论

最新评论

5楼 似水流年丶   2017-5-18 12:05:53
让我想起谷歌整天帮微软找bug,还监督微软有没有及时修复
回复     支持 7     反对
2楼 Hanking8461   2017-5-18 11:55:26
我没看明白他获取的是哪儿的密码
回复     支持     反对
3楼 joeyzhou521   2017-5-18 11:56:27
吓得我刚检查了下chrome的更新,还好提示我已是最新版本
回复     支持     反对
4楼 箭士   2017-5-18 12:02:34
这里绝对没有和我用一样的浏览器
回复     支持 1     反对
6楼 Wint3rfell   2017-5-18 12:46:13
坚决不用古狗**      0o。
回复     支持     反对
7楼 凤凰新闻UWP版   2017-5-18 12:47:28
家里好久都没有连网了,就是熊猫烧香也把我没有办法。
回复     支持 3     反对
8楼 言承仁   2017-5-18 13:36:50
箭士 发表于 2017-5-18 12:02
这里绝对没有和我用一样的浏览器

壮士你好
回复     支持     反对
9楼 Locokia   2017-5-18 14:22:08
无所谓,404公司
回复     支持     反对
10楼 嘘嘘谁去   2017-5-18 17:23:30
这下微软给谷歌找bug吗。
回复     支持     反对
11楼 seman638   2017-5-18 18:48:42
战斗而已,总不是你来我往?
回复     支持     反对
12楼 非凡力量   2017-5-18 20:19:23
不用这玩意。
回复     支持     反对
13楼 与飞刘   2017-5-19 00:02:40
自从谷歌“自傲”地退出中国,基本就已经告别谷歌了,有种就别回来呀。
回复     支持     反对 2
14楼 箭士   2017-5-19 07:03:37
言承仁 发表于 2017-5-18 13:36
壮士你好

这词听起来像是牺牲的
回复     支持     反对
15楼 qingqing870812   2017-5-19 08:42:37
这难道不是谷歌故意留下的漏洞?然后再黑一把Windows?
回复     支持     反对
16楼 凤凰新闻UWP版   2017-5-19 13:31:15
说多无益别用安卓手机
回复     支持     反对

查看全部评论(15)

  • WP10论坛

    智机社区
  • WP10软件

    应用推荐
  • APK云端转制

    APK云端转制
  • 智机网微博
    [email protected]
  • 智机网微信

    微信公众号
         

网站地图| 小黑屋|京ICP证150706号|京B2-20160045| 京公网安备11010802018258号

Powered by Discuz! X3.2 / Copyright 2010-2017 © 智机网 WFUN.COM Inc. All rights reserved.

返回顶部