攻擊手法 QRLJacking：利用 QR Code 來劫持登入系統

絕大多數的手機通訊程式，例如：LINE、WeChat、WhatsApp 等，都可以使用掃描 QR Code 的方式，來取代傳統輸入帳號密碼登入系統的方式。

埃及 Seekurity 公司資訊安全研究人員和網絡安全顧問 穆罕默德 Abdelbasset Elnouby 想出了一個概念，證明可以用來破解使用 QR code 登入服務的驗證功能，如“使用QR碼登錄”帳戶一個新的會話劫持技術一種安全的方式登錄到帳戶。 該技術是一種簡單但很討厭的攻擊手法，它影響所有依賴登入與QR代碼功能的應用程序。


QRLJacking 攻擊步驟：

1. 攻擊者先重置使用者端 QR session 和複製一個含有登入 QR code 的釣魚網頁。
2. 然後，攻擊者發送釣魚網頁給受害者。
3. 如果釣魚成功，當受害人掃描針對該手機通訊軟體的 QR code 。
4. 該手機通訊軟體會隱藏發送目標服務來完成認證過程。
5. 這樣一來，攻擊者就透過重置使用者端的 QR session，獲得了受害者的帳號控制。
6. 然後攻擊者透過該瀏覽的 session 就可以看到被害者的通訊軟體的內容。

因此，一個成功的 QRLJacking 攻擊，所有攻擊者需要：
1. QR code 刷新的 Script。
2. 一個精心製作的網絡釣魚網頁。

影片示範：
WhatsApp QRLJacking Vulnerability Demo
https://www.youtube.com/watch?v=4QwyBXiZhG0

原始資料：
https://thehackernews.com/2016/07/qrljacking-hacking-qr-code.html

kali linux攻擊演練