科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道18岁入侵Twitter黑客 演示入侵过程

18岁入侵Twitter黑客 演示入侵过程

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

据国外媒体报道,本周一成功入侵美国知名微型博客网站Twitter的黑客周二已经现身,这名年龄仅18岁的美国黑客当天在接受美国IT杂志《连线》科技博客栏目Threat Level电话采访时表示,通过自制的密码破解工具,他轻松获得了Twitter管理团队的登录密码。

作者:赛迪网 来源:赛迪网 2009年1月9日

关键字: 黑客 Twitter

  • 评论
  • 分享微博
  • 分享邮件
 

据国外媒体报道,本周一成功入侵美国知名微型博客网站Twitter的黑客周二已经现身,这名年龄仅18岁的美国黑客当天在接受美国IT杂志《连线》科技博客栏目Threat Level电话采访时表示,通过自制的密码破解工具,他轻松获得了Twitter管理团队的登录密码。他当天还表示,去年11月发生的YouTube用户账号入侵事件也是自己所为。

Twitter管理团队周一晚些时候在该公司官方博客中表示,周一上午(美国当地时间)发生了一起严重黑客入侵事件,一名黑客当天成功入侵Twitter网站,利用Twitter提供的客户服务工具,更改了33位美国名人和企业用户Twitter账号的密码,并在相应个人资料页面中张贴损贬当事人的低俗内容。受到攻击的Twitter账号包括美国下任总统巴拉克·奥巴马(Barack Obama)、知名歌星“小甜甜”布兰妮(Britney Spears)等。

入侵Twitter网站的这名美国黑客没有透露其真实身份,仅表示自己来自美国东海岸,目前是在校学生,在美国黑客圈的网名为“GMZ”。GMZ称,他这次入侵Twitter仅是属于好奇,并首先向一位看上去人气很高的Twitter用户“下手”,恰好这位用户又是Twitter客户支持团队成员之一,因此GMZ破解了这位客户支持人员的密码之后,便获得了Twitter在线客户服务工具的控制权。

GMZ称,自己首先使用密码破解器对这位Twitter客户服务团队人员发起字典式攻击(dictionary attack),以猜测该工作人员会使用哪个英语单词(或词组)作为登录密码。在密码破解器自动长时间工作后,GMZ发现这位客服人员的密码为英文单词“幸福”(happiness)。

GMZ表示,破解Twitter用户登录密码过程并不复杂,原因是Twitter对同一用户输入不同密码并无次数限制,“这显然是Twitter管理团队的重大安全失误。我想Twitter管理团队都不好意思承认这一点。”

取得网站管理控制权

周一Twitter入侵事件被媒体曝光后,美国黑客圈的一些人士初步认定,这起入侵事件应是GMZ所为。眼见如此,GMZ周二承认了此事,并答应接受《连线》Threat Level的电话采访。

GMZ表示,自己周日晚在Twitter网站“闲逛”,并注意到一位网名为“Crystal”的Twitter用户出现频度很高。他当时以为,Crystal在各条消息中出现的频度很高,可能是因为她在Twitter的人气很高,于是就决定破解Crystal的密码。从周日晚起,GMZ就让密码破解器整晚运行,到周一上午11点时,他发现自己已获得了Crystal账号控制权。

此时GMZ又发现,Crystal并不是普通用户,而是Twitter管理人员之一。如此一来,GMZ就轻松获得了对其他普通Twitter用户账号的访问权。GMZ还承认,自己在进行上述入侵活动时,甚至都没有使用代理服务器来隐藏自己IP地址,原因是认为这起入侵只不过是个小玩笑,而不会引起美国警方的注意,“我原以为此事不会成为媒体头条。”

GMZ表示,在获得Twitter管理控制权后,他还把相应信息发送到美国一家名为Digital Gangster的黑客论坛,以与其他“同道共享”,“我等于是向其他黑客免费提供了Twitter访问账号。”随后该论坛约20名黑客向GMZ发出请求,希望获得对奥巴马Twitter账号的访问权。GMZ更改奥巴马Twitter账号登录密码后,然后将所更改密码告知其中5名黑客。

Digital Gangster的其他黑客则要求获得布兰妮、Facebook、哥伦比亚广播公司(CBS)新闻、Digg创始人凯文·罗斯(Kevin Rose)等个人或企业用户在Twitter所设账号的访问权。正因为如此,Twitter网站中被更改账号周一出现了大量低俗、虚假内容。

Twitter周一晚称,共有33个Twitter账号遭到了更改,并表示这一入侵事件同数天前Twitter发生的钓鱼式攻击有着根本区别,“我们发现了入侵事件后,立即封锁了被入侵账号。目前奥巴马等人已重新获得了对各自账号的控制权。”

未参与发布虚假内容

GMZ表示,自己仅仅是更改了奥巴马等人Twitter账号的密码,但没有参与这33个账号上所出现各种低俗、虚假内容的发布。他还承认,在自己攻破Twitter之后一两个小时内,Twitter管理人员已觉察到是GMZ在“搞鬼”,因此屏蔽了GMZ的Twitter账号。

Twitter联合创始人比兹·斯通(Biz Stone)周二证实,周一的入侵者确实利用字典式攻击获取了网站管理权限。但斯通既没有透露遭到攻击员工的具体姓名,也拒绝证实相应管理密码是否是“happiness”,更没有透露Twitter用了多长时间才发现有人已成功入侵网站管理系统。

斯通表示,Twitter管理层已同所有被入侵的Twitter用户进行了联系沟通,但目前还没有就此事向美国联邦调查局(FBI)或其他美国执法部门汇报,“至于如何处理此事,我们还在听取Twitter法律顾问的意见。”他还表示,发生周一入侵事件后,Twitter管理团队已加强了对用户登录安全的管理。

曾入侵YouTube用户账号

GMZ表示,自己从事黑客活动已经三年,目前主要学习游戏开发。他还承认,去年11月,自己曾入侵美国青少年女影星麦莉·赛勒斯(Miley Cyrus)在谷歌旗下视频共享网站YouTube所设立账号;而GMZ一位朋友随后上传了赛勒斯已死于车祸的虚假视频。GMZ表示,自己还曾利用字典式攻击,成功获得其他一些美国名人YouTube账号的控制权。

在发生赛勒斯账号入侵事件后,YouTube屏蔽了GMZ的IP地址,并提高了安全预防措施。在这种情况下,GMZ就想到来Twitter“碰碰运气”。他表示,自己完全没有想到,Twitter竟然对用户重复输入不同登录密码的次数没有任何限制。GMZ表示,自己只是偶然在YouTube看到其他用户提到Twitter,之前从没有听说过该网站。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章