当前位置：万象系统之家 > IT快讯 > 详细页面

Google官方回应：登录页面有漏洞

编辑：chenbing 2016-08-30 15:55:38 来源于：互联网

　　据悉，近日，英国安全研究人员Aidan Woods发现谷歌的登录页面隐藏着安全隐患。当点击登录按钮是，将有恶意的文件会进行自动下载。对此，谷歌方面已经知晓了这个安全漏洞问题，并做出了相应措施。

　　英国安全研究人员Aidan Woods近日在Google的登录页面发现安全隐患，当他点击登录按钮的时候能够允许机智的攻击者自动下载恶意文件到用户电脑上。导致这个问题的关键是Google允许在登录页面URL中调用了“continue=［link］”参数，这个地址能够告诉Google服务器用户在登录之后重引导用户到哪里。Google已经考虑到这个参数可能会导致安全问题，并只能在google.com域名中的“*.google.com/*”规则使用，这里的*为通配符。

　　完整报告：Woods的博客

Google官方回应：登录页面有漏洞

　　Woods表示这意味着drive.google.com或者docs.google.com都能通过这个continue这个登录页面的有效参数来进行访问。聪明的黑客甚至能够上传恶意文件至受害人的Google Drive或者Google Docs账号，隐藏在官方Google登录链接中。当用户访问这个页面并进行登录的时候，能够在未经用户确认的情况下下载文件，这些文件使用类似于“Login_Challenge.exe”或者 “Two-Factor-Authentication.exe”这样的名称，欺骗用户点击安装。

　　对此Google官方回应道：

　　感谢你提供的BUG报告并让我们的用户更加安全。我们已经开始调查你提交的内容但是我们还是非常遗憾的告诉你我们做出决定并不会当做安全BUG进行追踪。你所提交的报告没有被我们的VRP所接受。对于技术安全漏洞的报告应该是影响机密性或用户数据的，但是我们认为你所提交的问题并没有影响。

　　很多用户表示不理解，为何谷歌并没有对这漏洞进行追踪呢？也许真像谷歌自己说的那样，技术安全漏洞的报告应该是保密的。希望谷歌对这一安全隐患问题能够正确的处理解决。