缺陷链可能导致前景，商店和摇摆账户妥协
一系列漏洞留下了Microsoft用户帐户的开放，新的研究揭示了。
与独立防病毒审查网站合作，安全策划，基于印度的安全研究员萨哈德尼克能够控制错误配置的Microsoft子域，成功.Office.com.，因此无论数据发送到它。
“子域与其CNAME记录指向Microsoft Azure Web App Service，”读取beplay体育能用吗一个博客文章来自SafetyDetective，本周早些时候发布。
“在简单的主机检查期间，我们意识到应用程序不再升级，我们能够通过使用名称注册Azure Web-App来接管子域beplay体育能用吗SuccessCenter-Msprod.。“
在控制子域后，研究人员发现不当OAuth.在Microsoft Outlook，Store中检查，摇摆可以使攻击者作为受害者登录 - 虽然在他们点击恶意链接之后。
即使身份验证启动器是Outlook.com或Sway.com，Login.Live.com也允许Https://success.office.com作为有效的重定向URL，并将登录令牌发送到我们现在控制的域。
这导致令牌泄漏到我们的服务器。可以将此标记交换此令牌进行会话令牌，并使用令牌以其他用户名/密码登录作为受害者。
这意味着绕过所有OAuth并获得有效的令牌;当受害者点击[恶意]链接时，我们将能够接管他们的帐户。
缺陷在六月透露给微软，并在上个月固定。
