如果你找到了一個蘋果的致命漏洞，原本可以獲得230萬人民幣的賞金，蘋果卻只給了11萬，你會是什么一種感受?

近日，一名名叫Laxman Muthiyah的印度程序員發文稱，他成功找到了iCloud賬戶的一個致命漏洞，提交給蘋果公司后，原先可獲得35萬美元的賞金，變成了1.8萬美元。十分氣憤的他拒收了賞金，并表示“蘋果的漏洞獎賞機制太不公開透明了，我寧愿免費分享我的研究。”

事情的經過到底是怎樣的?

發現iCloud致命漏洞

Laxman Muthiyah是一名來自印度的白帽黑客。

這里稍微科普一下，白帽黑客指的是站在黑客的角度攻擊系統，進行安全漏洞排查的程序員。

一直以來Laxman Muthiyah致力于幫助各大平臺尋找漏洞，并以此獲得賞金。

今年3月4日，他因為發現了微軟賬戶中容易被劫持的漏洞，而獲得微軟5萬美元的獎賞。

這并不是他發現的第一個漏洞。早之前，他發現了instagram賬戶中的一個漏洞。這個漏洞可以在賬戶所有者未經許可的情況下，入侵任何賬戶。Muthiyah將漏洞提交給了Facebook，因此他獲得了3萬美元的賞金。

Muthiyah因發現漏洞而獲獎的事情，還有很多。

去年，他想測試一下iCloud賬戶是否存在安全漏洞。

經過不懈地努力，他真的發現了一個安全問題：黑客可以利用Apple ID找回密碼這個功能，成功入侵任何一個iCloud賬戶。

他是怎么做到的呢?

我們得從Apple ID找回密碼這個功能說起。

如果你想要修改蘋果賬戶的密碼，往往需要用手機或者郵箱接收一個6位數的驗證碼。

在不知道驗證碼的情況下，如果想要暴力破解幾乎不可能，6位數的驗證碼有100萬種可能性，而且蘋果還設置了規則，如果連續輸入驗證碼錯誤5次，賬戶會被鎖定。

似乎在這樣的機制下，黑客只能盲猜驗證碼去修改密碼，拿到賬戶控制權了。

但技術高超的Muthiyah使用了黑客手段，輕松地破解了iCloud賬戶。

具體方法是這樣的，首先他嘗試向Apple服務器發送大量的POST請求。

幾經嘗試，他發現如果發送超過6個POST請求，IP便會被拉黑，之后再發送POST請求，就會出現503錯誤。

他還發現，在“忘記密碼”頁面一共出現了6個IP地址。也就是說，單個IP地址跨6個Apple服務器地址的話，就可以發送36個請求。

簡單計算一下，找到正確的驗證碼，大概需要28000個IP地址。

看起來好像還是很難，但IP地址從來都不會成為黑客們的阻礙。

通過使用28000個IP地址，對驗證碼進行嘗試，Muthiyah真的破解了iCloud賬戶的密碼!

黑客可以輕易拿到任何一個賬戶的密碼，意味著其中的所有信息，都將泄露，這是一個非常致命的安全漏洞!

Muthiyah成功破解后非常興奮，立馬將這一漏洞提交給了Apple安全團隊。

賞金縮水95%

根據Apple官網上顯示的關于找到漏洞的懸賞規則，如果有人找出涉及iCloud賬戶的漏洞，賞金可以高達10萬美元，如果找到上鎖Apple設備上提取用戶數據的漏洞，可以獲得25萬美元賞金。

Muthiyah發現的這一漏洞，將為他帶來35萬美元的收入。

但事情并沒有朝他想的那樣發展。

起先Apple團隊很積極地恢復了Muthiyah所提到的漏洞。

結果Apple好像開始磨起洋工。不僅沒有支付相關的賞金，甚至連這一致命漏洞都沒有修復，Muthiyah不斷地聯系，時隔10個月后，Apple才將這個漏洞的補丁發布到生產環境中，但Apple還是沒更新。

Muthiyah實在忍無可忍，他直接給Apple團隊寫了一封郵件，表示將在自己的博客上公布這一漏洞。

Apple還非常友善地表示，發布之前可以先將稿子發來看看。

當Apple技術團隊看完稿子后，完全否認了他的看法，認為這個漏洞并不致命，只有非Apple設備上的iCloud賬戶才會遭到攻擊，絕大部分用戶是不會受到影響的。

Muthiyah感到非常失望，于是他不管Apple是否同意，一定要將這一漏洞發布在自己的博客上。

這時Apple團隊給他發來了一封懸賞郵件，郵件里肯定了他的行為，但也表示，只能支付給他1.8萬美元，合約11萬人民幣的獎勵。

對于蘋果的做法，Muthiyah簡直要氣炸了，十分干脆地拒絕了這筆獎賞。

對于這一次的經歷，Muthiyah表示希望蘋果的安全團隊，更更加公開、透明地讓白帽黑客們，了解發現漏洞具體的賞金金額。