網(wǎng)絡(luò)安全專家 BruteCat 報(bào)告新的安全漏洞，僅通過用戶的谷歌個(gè)人資料名稱和部分手機(jī)號碼，就能暴力破解出賬戶的恢復(fù)手機(jī)號碼。
BruteCat 發(fā)現(xiàn)了一個(gè)已被廢棄的無 JavaScript 版本的谷歌用戶名恢復(fù)表單，該表單缺乏現(xiàn)代防護(hù)機(jī)制。通過用戶的個(gè)人資料顯示名稱（如“John Smith”），攻擊者可通過兩個(gè) POST 請求查詢與谷歌賬戶關(guān)聯(lián)的手機(jī)號碼。
BruteCat 利用 IPv6 地址輪轉(zhuǎn)技術(shù)，生成大量唯一 IP 地址，輕松繞過表單的簡單速率限制。同時(shí)，他通過替換參數(shù)和獲取有效 BotGuard 令牌，成功繞過 CAPTCHA 驗(yàn)證。
最終，他開發(fā)出一款暴力破解工具“gpb”，能以每秒 40000 次請求的速度，快速破解手機(jī)號碼。例如，破解美國號碼僅需 20 分鐘，英國 4 分鐘，荷蘭不到 15 秒。
攻擊需先獲取目標(biāo)的電子郵箱地址。盡管 Google 去年已將郵箱設(shè)為隱藏，BruteCat 表示無需與目標(biāo)互動，通過創(chuàng)建 Looker Studio 文檔并轉(zhuǎn)移所有權(quán)至目標(biāo) Gmail 地址，就能獲取目標(biāo)的顯示名稱。
此外，利用 Google 賬戶恢復(fù)流程可顯示恢復(fù)號碼的部分?jǐn)?shù)字（如 2 位），結(jié)合其他服務(wù)（如 PayPal）的密碼重置提示，可進(jìn)一步縮小范圍。IT之家附上演示視頻如下：
BruteCat 于 2025 年 4 月 14 日通過 Google 漏洞獎(jiǎng)勵(lì)計(jì)劃（VRP）報(bào)告此問題。Google 最初評估風(fēng)險(xiǎn)較低，但于 5 月 22 日將其升級為“中等嚴(yán)重”，并支付研究員 5000 美元獎(jiǎng)勵(lì)。
谷歌于 6 月 6 日確認(rèn)已完全廢棄該漏洞端點(diǎn)，攻擊路徑不再可行，但是否曾被惡意利用尚不得而知。
本文鏈接：http://www.enbeike.cn/news-14-10117-0.html谷歌漏洞被修復(fù)：最快15秒破解獲取Google賬號關(guān)聯(lián)手機(jī)號
聲明：本網(wǎng)頁內(nèi)容由互聯(lián)網(wǎng)博主自發(fā)貢獻(xiàn)，不代表本站觀點(diǎn)，本站不承擔(dān)任何法律責(zé)任。天上不會到餡餅，請大家謹(jǐn)防詐騙！若有侵權(quán)等問題請及時(shí)與本網(wǎng)聯(lián)系，我們將在第一時(shí)間刪除處理。
上一篇：A股午后直線跳水 創(chuàng)業(yè)板指跌超1%
下一篇：爆炒蘇超
點(diǎn)擊右上角
微信好友
朋友圈
點(diǎn)擊瀏覽器下方“
”分享微信好友Safari瀏覽器請點(diǎn)擊“
”按鈕
點(diǎn)擊右上角
QQ
點(diǎn)擊瀏覽器下方“”分享QQ好友Safari瀏覽器請點(diǎn)擊“”按鈕
