按 Enter 到主內容區
:::

TWCERT-電子報

:::

鉅量字串輸入至Instagram將導致DoS

發布日期:
字型大小:
  • 發布單位:TWCERT/CC
  • 更新日期:2019-04-03
  • 點閱次數:659
鉅量字串輸入至Instagram將導致DoS

內文

●概述:
2010年誕生的免費社交軟體Instagram,能分享線上圖片及視訊,日均使用者數量破億,該程式支援Android、Windows 10 Mobile、iOS 等平台,相容性遍及25種語言,前月Instagram一度經歷帳號入侵風波,尚有熱衷人士設法挖掘潛藏破綻,在64位元Windows 10環境測試Instagram登入階段,以大量文字(60000英文字母)填入Email Address欄位,造成DoS,好比拿篇論文餵給Instagram,顯然設計瑕疵在於未限制輸入資料長度,且至多影響當事人行動裝置用戶端,且App重新啟動或重開機即可,破壞力不算強,但此設計風格若套用在網頁版,或許干擾層面會擴大,Facebook對此漏洞暫無修補回應,就如同對待WhatsApp安全事件。
●編註:
為了探勘Instagram弱點,熱心的研究者以python開發一小段程式,這段程式還不是直接進行攻擊,僅用於準備攻擊道具,免得執行者按鍵到手痠,原始碼如後:
#!/usr/bin/python
buffer = "A" * 60000
payload = buffer
try:
f=open("Instagram.txt",22"w")
print "[+] Creating %s bytes evil payload.." %len(payload)
f.write(payload)
f.close()
print "[+] File created!"
except:
print "File cannot be created"
小程式開啟新檔案Instagram.txt,然後將payload寫入,這裡的payload是一大篇六萬字的大寫字母A,接著開啟Instagram App,登入方式選擇Email,將六萬個字母貼上Email Address欄位,Instagram App發生crash,並回應”Boom !!!!”,讓用戶瞭解到軟體被塞爆。

影響產品

Instagram App 41.1788.50991.0
回頁首