一名安全研究人员周五发布了另一起针对Facebook Instagram照片分享服务的攻击，该攻击可能使黑客控制受害者的账户。
这次攻击是由Carlos Reventlov围绕他在11月中旬在Instagram发现的漏洞。他于11月11日向Instagram通知了这个问题，但截至上周二，该问题还没有得到解决。
这个漏洞出现在10月23日发布的iPhone 3.1.2版本的Instagram应用程序中。 Reventlov发现，虽然一些敏感活动（如登录和编辑个人档案数据）在发送到Instagram时被加密，但其他数据以纯文本格式发送。他在运行iOS 6的iPhone 4上测试了这两起攻击，他首先发现了这个问题。
[进一步阅读：如何从Windows PC删除恶意软件]“当受害者启动Instagram应用程序时，文本cookie被发送到Instagram服务器，“Reventlov写道。 “一旦攻击者获得cookie，他就可以制作特殊的HTTP请求来获取数据和删除照片。”
只要黑客是攻击者，纯文本cookie就可以使用中间人攻击进行拦截在与受害者相同的LAN（局域网）上。一旦获得cookie，黑客可以删除或下载照片或访问与受害者朋友的其他人的照片。
丹麦安全公司Secunia验证了这一攻击并发布了一项通知。
Reventlov继续研究发现漏洞的可能性并发现cookie问题也可能使黑客接管受害者的账户。再次，攻击者必须与受害者位于同一局域网中。
攻击者使用称为ARP（地址解析协议）的欺骗方法，其中受害者的移动设备的网络流量通过攻击者的计算机进行传输。 Reventlov写道，然后可以拦截纯文本cookie。
通过使用另一个工具在传输到Instagram服务器期间修改Web浏览器的标题，可以作为受害者登录并更改受害者的电子邮件地址，导致帐户被入侵。对于Instagram的修复很简单：网站应该总是使用HTTPS来处理含有敏感数据的API请求，Reventlov写道。“我发现很多iPhone应用程序容易受到这种情况的影响，但并不是太多是高调的像Instagram这样的应用程序，“Reventlov在给IDG新闻服务的电子邮件中写道，
周一Instagram和Facebook官员都不能立即联系到。 Reventlov在他的建议中写道，当他告诉Instagram的问题时，他收到了一个自动回复。
发送新闻提示和评论到[email protected]。在Twitter上关注我：@jeremy_kirk