小红伞(Avira)曝严重漏洞 黑客可劫持用户账户

著名的杀毒软件小红伞Avira是一款免费的安全软件，然而其安全备份服务却存在着严重的Web应用漏洞，从而导致攻击者可以劫持用户账户，数百万用户就有可能这不小心成为了“刀俎之肉”。 

[[120207]]

Avira这一著名的免费安全软件，它的自身实时防护模块和安全备份服务都很受欢迎。Avira被评为2012年度第六大杀毒软件供应商，并在世界各地拥有1000多万的用户。

一名16岁的埃及安全研究员Mazen Gamal最新发现，Avira网站存在CSRF漏洞，他可以劫持用户账号并访问用户的在线安全云备份文件。

利用CSRF实现用户劫持

CSRF(Cross-site request forgery跨站请求伪造，也被称为one click attack或者session riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。攻击者往往通过伪装来自受信任用户的请求来利用受信任的网站实现攻击。

Gamal进一步解释，一般来说攻击者利用CSRF漏洞诱骗受害者访问一个恶意请求，在受害者点击这个URL连接的瞬间，实现Avira账户ID的邮箱地址替换。 

关于备份文件

当攻击者实现Avira的邮箱地址替换后，攻击者可以通过忘记密码选项，重置密码的链接会发送到攻击者的邮箱，从而很容易的重置受害者的账号密码。

一旦账户被劫持，攻击者就可以使用相同的凭证登陆到受害者的在线备份软件和https://dav.backup.avira.com/，进而获取受害者该Avira账户下所有的在线备份文件。

Gamal在给The Hacker News的邮件中提及：我发现了一个CSRF漏洞，可以对任何Avira账户进行劫持，通过打开受害者的备份文件，可以查看其Avira用户许可证。

可验证概念性视频

在8月20日的时候，Gamal已经将该漏洞提交给Avira安全团队，该团队也积极响应这一漏洞并修补其网站的漏洞。但是在Avira为本地文件解密提供一个离线password layer之前，他的在线安全备份服务仍然很容易受到黑客的攻击。