「核弹级」漏洞砸中 Twitter,黑客可以控制你的账户?
如何防范?刷推遇到超长链接,不要点击!万一不幸中招,立即修改密码即可。
撰文:shingle、Frank,Foresight News
最新消息:Paradigm 研究员 samczsun 再次发推称,Twitter 漏洞已修复,技术摘要为 Twitter 子域中的反射 XSS 和 CORS/CSP 旁路允许以本地验证用户身份对 Twitter API 进行任意请求。
以下为原文:今日上午,加州伯克利分校博士研究生 Chaofan Shou 发推披露,发现 Twitter 存在未修复的漏洞,随后 Paradigm 研究员 samczsun 援引 Chaofan Shou 表示,用户如果点击了黑客准备的链接,黑客就能完全访问你的 Twitter 账户,包括可以发推、转发、点赞、屏蔽等。
截至发文时,Twitter 尚未就此发布官方声明,Foresight News 在此简单分析了下该漏洞的攻击逻辑,以及普通用户的安全须知与防范手段。
漏洞攻击逻辑
本次被爆的推特漏洞属于 xss 攻击,即代码注入攻击——攻击者可以提前构造好带有恶意代码的网站链接,用户点击之后就会在网页上执行恶意代码。
比如给出的例子中,恶意代码被 base64 编码后执行,实际执行的是 alert('XSS PoC here')。
当用户访问这个恶意链接,网页就会执行这段代码,弹窗出该字符串:
用户如何防范?
因为这种构造代码是需要放在网址里的,就会导致恶意链接的长度很长。
因此用户在刷推遇到超长的链接时,不要点击!或者实在想看,可以复制出来,开个浏览器无痕模式查看。
总之,不要在登陆 Twitter 账户的浏览器上点击不明长链接。
如果万一不幸中招,立即修改推特密码即可,这种攻击最有价值的是是盗取你的推特 auth_token,修改密码会导致之前的 auth_token 失效。
比推快讯
更多 >>- 俄勒冈州成为美国第六个撤销、暂停或拒绝续签 Binance.US 运营许可证的州
- 消息人士:美联邦当局正在审查 Jack Dorsey 旗下公司 Block 不合规的加密业务
- VanEck:目前各ETF、国家、上市和私营公司持有价值约 1750 亿美元的比特币
- Web3游戏公司Games for a Living完成330万美元融资
- Coinbase Prime 现已开放 Akash Network (AKT) 质押
- Solana生态DEX衍生品平台Drift开放空投查询,总量12%用于空投
- 区块链开发公司 Movement Labs 获 Binance Labs 未公开投资
- 比特币跌破57,000美元,24 小时跌幅 6.51%
- 渣打银行称比特币可能进一步跌至 5 万美元
- 代币化公司Securitize完成4700万美元战略融资,贝莱德领投
- 美国9只现货比特币ETF今日净减持1950枚BTC,约合1.1亿美元
- Stacks 推迟其 Nakamoto 升级激活至 8 月 28 日
- 某巨鲸地址20分钟前向Kraken存入1225枚BTC,价值约合 7026 万美元
- Tether:2024 年第一季度净利润超 45 亿美元,创历史新高
- 美国职位空缺降至2021年以来最低水平,劳动力市场进一步走软
- 过去五小时孙宇晨地址从Binance转出6765万枚USDT
比推专栏
更多 >>- 每月动态 | Web3 安全事件总损失约 9081 万美元
- 脱水大字报:牛市行情或延迟类似2016年
- 矿工日收入突破亿创纪录,比特币符文能否接力铭文?
- 获比特大陆投资且被币安首个接入的BTC L2项目BEVM有何亮点?
- 为什么这轮牛市无法复制 2021 年的山寨季?
- 独家!种子轮融资200万美金+AI叙事的项目
- IOSG Weekly Brief|MKR的涅槃重生:新公链和RWA稳定币与Spark借贷独角兽 #223
- Kusama 上的 Coretime 交易已开始,平行链时代谢幕
- 100亿美元开发投资,红杉资本入局,特斯拉要搞波大的…
- Chainlink Q1产品更新;CCIP正式进入全面可用阶段;Consensus2024来啦|Chainlink 周报
观点
项目
比推热门文章
- 俄勒冈州成为美国第六个撤销、暂停或拒绝续签 Binance.US 运营许可证的州
- 【比推每日新闻精选】美联储维持利率不变,称通胀进展已陷入停滞;VanEck:目前各ETF、国家、上市和私营公司持有价值约 1750 亿美元的比特币;消息人士:美联邦当局正在审查 Jack Dorsey 旗下公司 Block 不合规的加密业务
- 消息人士:美联邦当局正在审查 Jack Dorsey 旗下公司 Block 不合规的加密业务
- VanEck:目前各ETF、国家、上市和私营公司持有价值约 1750 亿美元的比特币
- 降息举措“停摆”,渣打“扎心”预测:BTC恐跌至5万美元
- Web3游戏公司Games for a Living完成330万美元融资
- Coinbase Prime 现已开放 Akash Network (AKT) 质押
- Solana生态DEX衍生品平台Drift开放空投查询,总量12%用于空投
- 区块链开发公司 Movement Labs 获 Binance Labs 未公开投资
- 比特币跌破57,000美元,24 小时跌幅 6.51%