Hackers Could Have Broken into Any Instagram Account Through a Flaw in the Password Reset System

大多數Facebook用戶可能不知道Laxman Muthiyah是誰，這是一種恥辱，因為他們不知道他為保護他們的隱私做了多少工作。 Laxman Muthiyah是來自印度的網絡開發人員和安全研究員，他在世界上最大的社交網絡中發現了相當多的嚴重漏洞。例如，在2015年2月，他發現在藉助易於獲取的訪問令牌和Facebook相冊的識別號碼的情況下，他可以在未經您同意的情況下刪除您的照片。大約一個月後，他發現了Facebook移動應用程序的另一個漏洞，允許任何人查看手機上的私人照片。

Muthiyah發現了其他一些Facebook漏洞，他最近決定看看Mark Zuckerberg的其他流行平台是如何做的。 Instagram是排在榜單上的第一個，當然，在通過密碼重置機制之後，Muthiyah 發現了一個錯誤 ，可以讓有動力的黑客接管他們想要的任何Instagram帳戶。

Instagram的不同密碼重置機制

Instagram密碼可以通過瀏覽器和社交網絡的移動應用程序重置。在瀏覽器中，該機製過時而且簡單 - 您單擊“忘記密碼？”鏈接，您輸入帳戶的用戶名，密碼重置鏈接將發送到您的電子郵件。只要您有權訪問您的電子郵件地址，您就可以了。

在移動設備上，情況有所不同。啟動密碼重置程序後，Instagram會向與您的帳戶關聯的電話號碼發送帶有六位數密碼的短信。您提供密碼，應用程序允許您分配新密碼。

短信中的密碼在十分鐘後過期，並且在短時間內可以從同一IP輸入多少錯誤代碼的速率限制。該系統的設計是為了確保網絡犯罪分子不能使用蠻力來嘗試猜測六位數代碼。無論如何，這就是那些把它放到位的人的想法。

Instagram的參差不齊的蠻力保護

Laxman Muthiyah懷疑可能有一種方法可以繞過Instagram的暴力保護，並確認是否真的如此，他需要做一些偵察。他創建了一個虛假帳戶，啟動了密碼重置程序，並編寫了一個腳本，可以快速連續地自動嘗試1,000個不同的隨機六位數代碼。其中750人被拒絕，這給了Muthiyah的速率限制 - 每個IP地址250個請求。然而，他意識到他可以從同一地址發送另外1,000個請求. 速率限制將再次使其四分之三無效，但知識產權不會被列入黑名單。

在經歷了一些令人頭疼的事後，他想通瞭如果他能夠控制大量的IP並且他能夠觸發一些被稱為競爭狀態的東西（在被要求同時執行多項任務之後計算機系統出現不良行為），他可以在相對較短的時間內嘗試許多不同的六位數組合，而不會達到速率限制。

為了證明他的觀點，他使用了1,000種不同的IP來發送不到200,000個請求，他的概念驗證視頻顯示除了770個之外的其他所有請求都通過了。一個六位數的密碼總共有100萬個可能的組合，這意味著如果攻擊者可以從5,000個IP發送請求，它們幾乎可以保證成功地強制執行最重要的代碼。

150美元用於接管一個Instagram帳戶。這值得麼？

5000 IP可能聽起來很多，但Muthiyah計算得出，由於亞馬遜和谷歌的現代云服務，租用類似數量的地址將花費大約150美元。為了劫持一個與朋友和家人分享自拍的人的帳戶，犯罪分子是否有興趣支付150美元？似乎不太可能。然而，如果目標是所謂的Instagram影響力之一，那麼故事就不同了。

我們談論的是擁有數十萬甚至數百萬粉絲的用戶，他們已準備好點擊他們看到的每個鏈接。造成嚴重破壞的可能性或多或少是無限的，這就是為什麼當Muthiyah了解這個漏洞時，他立即與Instagram取得聯繫，必須說照片共享網絡的回應幾乎沒有什麼可取之處。

這個漏洞得到了迅速修補，Laxman Muthiyah獲得了30,000美元的獎金，用於查找和轉發重要信息。這是Muthiyah為他的工作所獲得的相當長的獎勵。用戶應該感謝他的努力，並希望他將繼續領先於網絡犯罪分子找到錯誤。