约定的230万呢？印度黑客发现iCloud致命漏洞，苹果11万元送走情怀？近日，一位名叫LaxmanMuthiyah的印度程序员发帖称，他成功找到了iCloud账户中的一个致命漏洞。提交给苹果后，他可以获得35万美元的赏金，而不是1.8万美元。.非常生气，他拒绝接受赏金，并说“苹果的漏洞奖励机制太不透明和透明了，我宁愿免费分享我的研究”。发生了什么？LaxmanMuthiyah是一位来自印度的白帽黑客。这里科普一下。白帽黑客是指从黑客的角度对系统进行攻击，进行安全漏洞排查的程序员。LaxmanMuthiyah一直致力于帮助各大平台发现漏洞并获得赏金。今年3月4日，他因发现微软账户存在容易被劫持的漏洞，获得了微软5万美元的悬赏。这不是他发现的第一个漏洞。早些时候，他发现自己的Instagram账户存在漏洞。该漏洞可以在未经帐户所有者许可的情况下危及任何帐户。Muthiyah将漏洞提交给了Facebook，为此他获得了30,000美元的赏金。Muthiyah因发现漏洞等而获奖。去年，他想测试他的iCloud帐户是否存在安全漏洞。经过不懈努力，他果然发现了一个安全问题：黑客可以利用AppleID的找回密码功能，成功入侵任意iCloud账户。他是怎么做到的呢？我们还得从找回AppleID密码的功能说起。如果要更改苹果账户密码，往往需要通过手机或邮箱接收6位验证码。在不知道验证码的情况下，暴力破解几乎是不可能的。一个6位验证码有100万种可能，苹果也定下了规则。如果您连续5次输入错误的验证码，您的账户将被冻结。锁定。看来在这样的机制下，黑客只能盲目猜测验证码来更改密码，获得对账户的控制权。但技术高超的Muthiyah使用黑客手段，轻松破解了iCloud账户。具体方法是这样的，首先他尝试向苹果服务器发送大量的POST请求。几次尝试后，他发现如果发送超过6次POST请求，IP就会被封，之后再发送POST请求，就会出现503错误。他还发现，“忘记密码”页面上一共出现了6个IP地址。也就是说，如果单个IP地址跨越6个Apple服务器地址，则可以发送36个请求。简单计算，大约需要28000个IP地址才能找到正确的验证码。这似乎仍然很难，但IP地址从来都不是黑客的障碍。通过使用28000个IP地址和尝试验证码，Muthiyah真的破解了iCloud账户的密码！黑客可以轻易得到任何账户的密码，这意味着其中的所有信息都将被泄露，这是一个非常致命的安全漏洞！Muthiyah在成功破解后非常兴奋，并立即将这个漏洞提交给了苹果安全团队。赏金减少了95%。根据苹果官网显示的寻找漏洞的赏金规则，如果有人发现涉及iCloud账户的漏洞，奖励最高可达10万美元。如果有人发现从锁定的Apple设备中提取用户数据的漏洞，他们可以获得250,000美元的赏金。Muthiyah发现的漏洞将为他带来350,000美元。但事情并没有像他想的那样发展。起初，Apple团队非常积极地修复Muthiyah提到的漏洞。如此一来，苹果似乎开始磨外国工人了。不仅没有支付相关的赏金，就连这个致命漏洞也没有修复。Muthiyah一直保持着联系。时隔10个月，苹果发布了生产环境针对该漏洞的补丁，但苹果依然没有更新。Muthiyah再也受不了了。他直接给苹果团队写了一封邮件，说他会在他的博客上公布这个漏洞。apple也很客气的说可以先发稿子看看再发表。苹果技术团队看完稿件后完全否定了他的观点，认为这个漏洞并不致命，只会攻击非苹果设备上的iCloud账户，绝大部分用户不会受到影响。Muthiyah非常失望，他决定不顾Apple的批准，将这个错误发布在他的博客上。这时，苹果团队给他发了一封悬赏邮件，肯定了他的行为，但也表示只能给他18000美元的悬赏，11万人民币的合同。对于Apple的做法，Muthiyah快要爆发了，很干脆的拒绝了悬赏。对于这次经历，Muthiyah表示希望苹果安全团队更加公开透明，让白帽黑客知道发现漏洞的具体赏金金额。
