微軟必應(yīng)搜索的CMS系統(tǒng)”被黑” 險(xiǎn)些造成數(shù)以百萬計(jì)的用戶信息泄露 – 藍(lán)點(diǎn)網(wǎng)
根據(jù) Wiz Research 的微軟網(wǎng)研究報(bào)告,他們發(fā)現(xiàn)了 Azure Active Directory 中的必應(yīng)被黑百萬一個(gè)新攻擊向量,該向量暴露了錯(cuò)誤配置的搜索揚(yáng)州外圍上門外圍女(電話微信189-4469-7302)真實(shí)上門外圍上門外圍女,快速安排90分鐘到達(dá)應(yīng)用程序,從而使未經(jīng)授權(quán)的系統(tǒng)險(xiǎn)造信息泄露訪問者能夠進(jìn)入。這些錯(cuò)誤配置在 Azure App Services 和 Azure Functions 中相當(dāng)常見。成數(shù)
經(jīng)過掃描,用戶約有 25% 的藍(lán)點(diǎn)多租戶應(yīng)用程序表現(xiàn)出易受攻擊的特點(diǎn)。
藍(lán)點(diǎn)網(wǎng)注:這里的微軟網(wǎng)多租戶指的是一個(gè)網(wǎng)絡(luò)程序同時(shí)支持多個(gè)公司使用,使用身份驗(yàn)證系統(tǒng)進(jìn)行隔離;單租戶指的必應(yīng)被黑百萬揚(yáng)州外圍上門外圍女(電話微信189-4469-7302)真實(shí)上門外圍上門外圍女,快速安排90分鐘到達(dá)是這個(gè)網(wǎng)絡(luò)程序只供一家公司使用,因此不需要隔離。搜索

此外,研究人員發(fā)現(xiàn)了幾個(gè)影響重大的成數(shù)易受攻擊的 Microsoft 應(yīng)用程序。其中一個(gè)應(yīng)用程序是用戶支持 Bing.com 的內(nèi)容管理系統(tǒng)(CMS),它不僅允許研究人員修改搜索結(jié)果,藍(lán)點(diǎn)還允許他們對(duì) Bing 用戶發(fā)起高影響的微軟網(wǎng) XSS 攻擊。這些攻擊可能危及用戶的個(gè)人數(shù)據(jù),包括 Outlook 電子郵件和 SharePoint 文檔。
所有問題都已報(bào)告給微軟安全響應(yīng)中心(MSRC)團(tuán)隊(duì),該團(tuán)隊(duì)修復(fù)了易受攻擊的應(yīng)用程序,更新了客戶指南,并修補(bǔ)了部分 AAD 功能以減少客戶的暴露風(fēng)險(xiǎn)。
攻擊流程與影響
Wiz Research 團(tuán)隊(duì)通過掃描 Azure App Services 和 Azure Functions 的暴露端點(diǎn),衡量了此類錯(cuò)誤配置的普遍性。
在掃描的結(jié)果中,他們注意到了一個(gè)名為 “bingtrivia.azurewebsites.net” 的 Microsoft 應(yīng)用程序,該應(yīng)用程序與 Bing 搜索引擎相關(guān)聯(lián)。研究人員創(chuàng)建了一個(gè)新用戶并嘗試登錄 Bing Trivia,盡管他們不屬于 Microsoft 租戶,但仍然成功登錄并進(jìn)入了 Bing Trivia 主頁(yè)。
在對(duì)頁(yè)面進(jìn)行深入研究后,他們發(fā)現(xiàn)這個(gè)簡(jiǎn)單的 CMS (內(nèi)容管理系統(tǒng)) 中包含了與 Bing 核心內(nèi)容相關(guān)的多個(gè)部分,包括 “Carousels” 部分,其中包含了出現(xiàn)在 Bing 上的搜索結(jié)果建議。
他們提出了一個(gè)問題:這個(gè)面板是否能讓我們修改 Bing 的搜索結(jié)果?
為了驗(yàn)證這一點(diǎn),研究人員選擇了 CMS 中的一個(gè)輪播,并稍微修改了其內(nèi)容。令人驚訝的是,他們的新結(jié)果立即出現(xiàn)在 Bing.com 上,包括新的標(biāo)題、縮略圖和任意鏈接。這證明了他們可以控制 Bing 的搜索結(jié)果,并且控制范圍還擴(kuò)展到了 Bing 的主頁(yè)內(nèi)容。
此外,研究人員還測(cè)試了 XSS 攻擊的可行性,并使用無害負(fù)載驗(yàn)證了 XSS 攻擊的成功執(zhí)行。
隨著對(duì) XSS 攻擊影響的進(jìn)一步調(diào)查,研究人員發(fā)現(xiàn) Bing 有一個(gè) “Work” 部分,允許用戶搜索組織目錄,并意識(shí)到它是基于 Office 365 API 的。
研究人員通過這個(gè) API 生成了一個(gè)新的 XSS 負(fù)載,并成功獲取了受害者用戶(這里是研究賬戶)的有效令牌。這個(gè)令牌使攻擊者能夠獲取受害者的 Office 365 數(shù)據(jù),包括 Outlook 電子郵件、日歷、Teams 消息、SharePoint 文檔和 OneDrive 文件。
這意味著惡意攻擊者可以利用相同的負(fù)載劫持最受歡迎的搜索結(jié)果竊取數(shù)百萬用戶的敏感數(shù)據(jù)。據(jù) SimilarWeb 統(tǒng)計(jì),Bing 是全球第 27 大訪問量最高的網(wǎng)站,每月頁(yè)面瀏覽量超過十億,也就是說,數(shù)百萬用戶可能會(huì)暴露于惡意搜索結(jié)果和 Office 365 數(shù)據(jù)盜竊之中。
其他易受攻擊的應(yīng)用程序
除了 Bing Trivia 應(yīng)用程序外,研究人員還發(fā)現(xiàn)了若干其他內(nèi)部 Microsoft 應(yīng)用程序存在類似的錯(cuò)誤配置,并對(duì)任何嘗試登錄的人員進(jìn)行暴露:
Mag News:一個(gè) MSN 新聞通訊的控制面板,能夠以可信賴的 Microsoft 電子郵件地址向大量受眾發(fā)送任意電子郵件。
CNS API:Microsoft 的中央通知服務(wù) API,能夠讀取和發(fā)送內(nèi)部通知給 Microsoft 開發(fā)人員。
Contact Center:Microsoft 聯(lián)系中心 API,控制 Microsoft 客戶代表的呼叫中心代理者。
如何檢測(cè)和減輕風(fēng)險(xiǎn)
Wiz Research 團(tuán)隊(duì)已經(jīng)將所有問題報(bào)告給了 MSRC 團(tuán)隊(duì),并獲得了相關(guān)問題的修復(fù)。微軟修復(fù)了這些易受攻擊的應(yīng)用程序,更新了客戶指南,并修補(bǔ)了一些 AAD 功能以降低客戶暴露的風(fēng)險(xiǎn)。
對(duì)于受到此類錯(cuò)誤配置影響的環(huán)境,Wiz Research 團(tuán)隊(duì)建議參考其博客中的 “客戶補(bǔ)救指南” 部分,了解如何檢測(cè)和減輕這些風(fēng)險(xiǎn)。
相關(guān)文章

《絕地求生》國(guó)服反外掛舉措公布,獨(dú)創(chuàng)追溯處罰抓開掛
《絕地求生》是一款非常好玩的多人競(jìng)技游戲,游戲支持100人在線對(duì)戰(zhàn),活到最后的成為最后的勝利者,不過游戲自從上架以來就一直有著眾多外掛的存在,這次騰訊表示將會(huì)嚴(yán)厲打擊外掛,獨(dú)創(chuàng)追溯處罰抓開掛,下面一起2025-11-26
王者榮耀艾琳奇遇舞章是限定還是常駐發(fā)布時(shí)間:2022-04-08 09:30:11來源:逗游作者:逗游網(wǎng)王者榮耀組隊(duì)開黑推塔游戲王者榮耀2023游戲類別:角色扮演游戲大小:6.25M 游戲語言:簡(jiǎn)體中2025-11-26
我的世界游戲中,玩家可以通過末影船獲取滑翔翼。但是獲取滑翔翼怎么使用呢?99單機(jī)網(wǎng)小編就簡(jiǎn)單介紹下我的世界滑翔翼使用攻略。滑翔翼獲取后只能裝備在胸甲欄中。最少需要4格以上的高度落差才能飛起來。建議最少2025-11-26
明日之后周末巡邏npc對(duì)話選擇攻略發(fā)布時(shí)間:2022-04-08 11:34:29來源:逗游作者:逗游網(wǎng)明日之后角色高自由度游戲明日之后游戲類別:槍戰(zhàn)射擊游戲大小:0 M 游戲語言:簡(jiǎn)體中文游戲版本:2025-11-26
《方舟:生存進(jìn)化》將移植到switch 試玩視頻預(yù)覽
方舟生存進(jìn)化是款恐龍求生游戲,最近switch版本的預(yù)告視頻放出,給玩家們帶來了很多期待,但是由于性能限制,可能switch版本在內(nèi)容上精簡(jiǎn)了許多,下面預(yù)告視頻有興趣可以看看。今天進(jìn)行的GDC大會(huì)有關(guān)2025-11-26
可口的披薩美味的披薩乳糖不耐受披薩怎么做發(fā)布時(shí)間:2022-04-08 15:16:30來源:逗游作者:逗游網(wǎng)可口的披薩美味的披薩卡通游戲開店經(jīng)營(yíng)策略經(jīng)營(yíng)游戲類別:模擬經(jīng)營(yíng)游戲大小:175.93M 游2025-11-26
