您的當前位置：首頁 > 綜合 > 微軟必應搜索的CMS系統”被黑” 險些造成數以百萬計的用戶信息泄露 – 藍點網 正文
時間：2025-12-10 21:33:52 來源：網絡整理 編輯：綜合
根據 Wiz Research 的研究報告，他們發現了 Azure Active Directory 中的一個新攻擊向量，該向量暴露了錯誤配置的應用程序，從而使未經授權的訪問者能夠進入。這些錯誤配置在 太原同城外圍約炮外圍上門外圍女（微信365-*2895）一二線城市上門真實可靠快速安排30分鐘到達
根據 Wiz Research 的微軟網研究報告，他們發現了 Azure Active Directory 中的必應被黑百萬一個新攻擊向量，該向量暴露了錯誤配置的搜索太原同城外圍約炮外圍上門外圍女（微信365-*2895）一二線城市上門真實可靠快速安排30分鐘到達應用程序，從而使未經授權的系統險造信息泄露訪問者能夠進入。這些錯誤配置在 Azure App Services 和 Azure Functions 中相當常見。成數
經過掃描，用戶約有 25% 的藍點多租戶應用程序表現出易受攻擊的特點。
藍點網注：這里的微軟網多租戶指的是一個網絡程序同時支持多個公司使用，使用身份驗證系統進行隔離；單租戶指的必應被黑百萬太原同城外圍約炮外圍上門外圍女（微信365-*2895）一二線城市上門真實可靠快速安排30分鐘到達是這個網絡程序只供一家公司使用，因此不需要隔離。搜索
此外，研究人員發現了幾個影響重大的成數易受攻擊的 Microsoft 應用程序。其中一個應用程序是用戶支持 Bing.com 的內容管理系統（CMS），它不僅允許研究人員修改搜索結果，藍點還允許他們對 Bing 用戶發起高影響的微軟網 XSS 攻擊。這些攻擊可能危及用戶的個人數據，包括 Outlook 電子郵件和 SharePoint 文檔。
所有問題都已報告給微軟安全響應中心（MSRC）團隊，該團隊修復了易受攻擊的應用程序，更新了客戶指南，并修補了部分 AAD 功能以減少客戶的暴露風險。
攻擊流程與影響
Wiz Research 團隊通過掃描 Azure App Services 和 Azure Functions 的暴露端點，衡量了此類錯誤配置的普遍性。
在掃描的結果中，他們注意到了一個名為 “bingtrivia.azurewebsites.net” 的 Microsoft 應用程序，該應用程序與 Bing 搜索引擎相關聯。研究人員創建了一個新用戶并嘗試登錄 Bing Trivia，盡管他們不屬于 Microsoft 租戶，但仍然成功登錄并進入了 Bing Trivia 主頁。
在對頁面進行深入研究后，他們發現這個簡單的 CMS (內容管理系統) 中包含了與 Bing 核心內容相關的多個部分，包括 “Carousels” 部分，其中包含了出現在 Bing 上的搜索結果建議。
他們提出了一個問題：這個面板是否能讓我們修改 Bing 的搜索結果？
為了驗證這一點，研究人員選擇了 CMS 中的一個輪播，并稍微修改了其內容。令人驚訝的是，他們的新結果立即出現在 Bing.com 上，包括新的標題、縮略圖和任意鏈接。這證明了他們可以控制 Bing 的搜索結果，并且控制范圍還擴展到了 Bing 的主頁內容。
此外，研究人員還測試了 XSS 攻擊的可行性，并使用無害負載驗證了 XSS 攻擊的成功執行。
隨著對 XSS 攻擊影響的進一步調查，研究人員發現 Bing 有一個 “Work” 部分，允許用戶搜索組織目錄，并意識到它是基于 Office 365 API 的。
研究人員通過這個 API 生成了一個新的 XSS 負載，并成功獲取了受害者用戶（這里是研究賬戶）的有效令牌。這個令牌使攻擊者能夠獲取受害者的 Office 365 數據，包括 Outlook 電子郵件、日歷、Teams 消息、SharePoint 文檔和 OneDrive 文件。
這意味著惡意攻擊者可以利用相同的負載劫持最受歡迎的搜索結果竊取數百萬用戶的敏感數據。據 SimilarWeb 統計，Bing 是全球第 27 大訪問量最高的網站，每月頁面瀏覽量超過十億，也就是說，數百萬用戶可能會暴露于惡意搜索結果和 Office 365 數據盜竊之中。
其他易受攻擊的應用程序
除了 Bing Trivia 應用程序外，研究人員還發現了若干其他內部 Microsoft 應用程序存在類似的錯誤配置，并對任何嘗試登錄的人員進行暴露：
Mag News：一個 MSN 新聞通訊的控制面板，能夠以可信賴的 Microsoft 電子郵件地址向大量受眾發送任意電子郵件。
CNS API：Microsoft 的中央通知服務 API，能夠讀取和發送內部通知給 Microsoft 開發人員。
Contact Center：Microsoft 聯系中心 API，控制 Microsoft 客戶代表的呼叫中心代理者。
如何檢測和減輕風險
Wiz Research 團隊已經將所有問題報告給了 MSRC 團隊，并獲得了相關問題的修復。微軟修復了這些易受攻擊的應用程序，更新了客戶指南，并修補了一些 AAD 功能以降低客戶暴露的風險。
對于受到此類錯誤配置影響的環境，Wiz Research 團隊建議參考其博客中的 “客戶補救指南” 部分，了解如何檢測和減輕這些風險。
《除暴戰警3》已基本完工 需要更多時間優化游戲2025-12-10 21:25
lol10月28日【周免】英雄更新公告 10.28周免英雄一覽2025-12-10 21:21
龍珠超宇宙2那巴怎么打 龍珠超宇宙2那巴打法技巧一覽2025-12-10 21:15
山羊老師的眼鏡的故事2025-12-10 20:47
夏季新品！《劍俠天下3》新坐騎新辱物霸氣退場！2025-12-10 20:46
龍珠超宇宙2飛船怎么進入 飛船進入方法分享2025-12-10 20:35
文明6屏幕自動往上移怎么辦 自動往上移解決方法分享2025-12-10 20:20
DNF暗精靈遺跡改版改了什么 暗精靈遺跡改版后攻略2025-12-10 19:53
起猛了？秦時明月和鎧甲勇士一起拍電影！國產第一IP宇宙擊破多廚次元壁2025-12-10 19:18
魔獸世界醉酒效果怎么取消 醉酒效果取消方法分享2025-12-10 19:15
ChinaJoy最硬展臺：AMD AI+游戲，為熱愛全力以赴！2025-12-10 21:27
龍珠超宇宙2弗利薩族覺醒方法分享 弗利薩族怎么覺醒2025-12-10 21:20
上古卷軸5天際重制版垂直同步關閉方法介紹2025-12-10 21:20
泰坦隕落2怎么轉生 泰坦隕落2轉生方法分享2025-12-10 20:45
花粉過敏的玲玲的故事2025-12-10 20:03
魔獸世界7.1 11月3日2025-12-10 19:55
魔獸雪羽雛龍怎么得 雪羽雛龍坐標食物分享2025-12-10 19:48
上古卷軸5天際重制版哪些MOD能用 能用MOD一覽2025-12-10 19:45
《鋼鐵收割》眾籌成功 一戰機甲RTS備受期待2025-12-10 19:27
lol11月3日全新【比賽記錄】統計頁面測試上線公告2025-12-10 19:15
免責聲明：本站所有信息均來源于互聯網搜集，并不代表本站觀點，本站不對其真實合法性負責。如有信息侵犯了您的權益，請告知，本站將立刻刪除。
Copyright © 2025 Powered by 微軟必應搜索的CMS系統”被黑” 險些造成數以百萬計的用戶信息泄露 – 藍點網,桑間濮上網 sitemap
