Windows 20年历史的bug被发现会泄漏微软账号登录信

Windows20年历史的bug被发现会泄漏微软账号登录信

所有Windows系统软件都存在一个难题，容易导致用户登录和密码信息泄露。这一点非常重要，因为客户申请的Microsoft帐户与他们之间申请的其他服务相关。其中包括:

微软OneDrive(云存储)

MicrosoftOutlook(电子邮件)

Skype帐户(如果与Microsoft帐户相关联)

Xbox互联网

微软办公

MSN帐户(即时消息)

WindowsMobile帐户(浏览手机)

MicrosoftBing帐户(浏览以检索历史数据)

这些攻击中的大多数可以突破与客户的Microsoft帐户相关的所有服务。如果电子计算机设置为允许远程登录，也很可能促进远程控制编码的实现。

大家都是从ProstoVPN的乌克兰经销商ValdikSS那里了解到这个问题的。在他的博客里(https://habrahabr.ru/post/306810/)有很多关于这个问题的信息。

你可以在人人的专用测试网站上检查一下你是否非常容易受到这个问题的影响。网站地址是:https://msleak.perfect-privacy.com/.如果这个测试显示你的账户登录和密码或者密码哈希已经暴露，那么你应该立即更改密码，并考虑采取本文末尾列出的对策。

详细信息

为了更好地打开这个漏洞，攻击者必须建立一个共享网络，诱骗受害者浏览其共享资源的所有IP地址。如果受害者使用的电脑浏览器是InternetExplorer或Edge(Chrome和Firefox不受影响)，只需在网站中放置一张图片即可。此外，另一种可能性是将这个共享网络放在电子邮件中。如果受害者使用MicrosoftOutlook，也会暴露他的登录凭据。

更具体地说，成功攻击可以获得帐户登录、密码的NTML哈希和Windows域。众所周知，这种哈希很容易被破译——弱密码只需要几秒钟。一般来说，如果你的Windows密码的hash泄露了，安全方法就是认为你的密码已经被攻破了。

注意，这既不是新问题，也不是网络安全问题:AaronSpangler在1997年就已经发现了这个问题。再说2015年有个一年一度的白帽黑客安全生产大会，也讨论过这个问题。当时人们并不认为这是一个问题，因为对这个问题的攻击总是泄露本地的Windows登录信息(大多数情况下无法根据这个凭证进行远程桌面连接)。但从Windows8开始，微软允许MicrosoftLive账号登录自己的电脑，并在Windows10上设置为默认设置。结果就像我们在本文开头提到的，对这个问题的攻击可以突破你微软手机绑定的每一个服务项，包括邮箱、Skype、XBoxLive。

这个问题虽然与VPN无关，但也会危及VPN连接:当应用IPSecVPN连接时，成功的攻击会获取你的VPN连接的登录名和密码，虽然获取你的Windows凭据并不容易。虽然这并不会危及VPN隧道建设数据加密的安全性，但很可能会突破匿名VPN客户。同一企业VPN(如外部服务代理)的VPN登录凭证也很有可能落入攻击者之手。

即使VPN不容易受到伤害，但大家还是觉得保护自己的客户免受这种肆无忌惮的开放网络安全问题是每个人的义务。为此大家都升级了自己的Windows客户端，现在按照互联网技术发送到Samba源码的要求都被屏蔽了。这意味着在应用人人的VPN管理工具时，你的VPN和Windows凭证不容易被泄露。

缓解对策:

1.在互联网技术上浏览共享网络(如internetExplorer、Edge或Outlook)不必使用微软软件。

2.您不必使用Microsoft帐户登录本地Windows设备。

欢迎分享，转载请注明来源：内存溢出

原文地址: http://outofmemory.cn/zz/771771.html