「核弹级」漏洞砸中 Twitter，黑客可以控制你的账户？
如何防范？刷推遇到超长链接，不要点击！万一不幸中招，立即修改密码即可。
撰文：shingle、Frank，Foresight News
最新消息：Paradigm 研究员 samczsun 再次发推称，Twitter 漏洞已修复，技术摘要为 Twitter 子域中的反射 XSS 和 CORS/CSP 旁路允许以本地验证用户身份对 Twitter API 进行任意请求。
以下为原文：今日上午，加州伯克利分校博士研究生 Chaofan Shou 发推披露，发现 Twitter 存在未修复的漏洞，随后 Paradigm 研究员 samczsun 援引 Chaofan Shou 表示，用户如果点击了黑客准备的链接，黑客就能完全访问你的 Twitter 账户，包括可以发推、转发、点赞、屏蔽等。
截至发文时，Twitter 尚未就此发布官方声明，Foresight News 在此简单分析了下该漏洞的攻击逻辑，以及普通用户的安全须知与防范手段。
漏洞攻击逻辑
本次被爆的推特漏洞属于 xss 攻击，即代码注入攻击——攻击者可以提前构造好带有恶意代码的网站链接，用户点击之后就会在网页上执行恶意代码。
比如给出的例子中，恶意代码被 base64 编码后执行，实际执行的是 alert(‘XSS PoC here’)。
当用户访问这个恶意链接，网页就会执行这段代码，弹窗出该字符串：
用户如何防范？
因为这种构造代码是需要放在网址里的，就会导致恶意链接的长度很长。
因此用户在刷推遇到超长的链接时，不要点击！或者实在想看，可以复制出来，开个浏览器无痕模式查看。
总之，不要在登陆 Twitter 账户的浏览器上点击不明长链接。
如果万一不幸中招，立即修改推特密码即可，这种攻击最有价值的是是盗取你的推特 auth_token，修改密码会导致之前的 auth_token 失效。
If you find submirror valuable, please consider donate to wong2.eth to help cover server cost.
如何防范？刷推遇到超长链接，不要点击！万一不幸中招，立即修改密码即可。
撰文：shingle、Frank，Foresight News
最新消息：Paradigm 研究员 samczsun 再次发推称，Twitter 漏洞已修复，技术摘要为 Twitter 子域中的反射 XSS 和 CORS/CSP 旁路允许以本地验证用户身份对 Twitter API 进行任意请求。
以下为原文：今日上午，加州伯克利分校博士研究生 Chaofan Shou 发推披露，发现 Twitter 存在未修复的漏洞，随后 Paradigm 研究员 samczsun 援引 Chaofan Shou 表示，用户如果点击了黑客准备的链接，黑客就能完全访问你的 Twitter 账户，包括可以发推、转发、点赞、屏蔽等。
截至发文时，Twitter 尚未就此发布官方声明，Foresight News 在此简单分析了下该漏洞的攻击逻辑，以及普通用户的安全须知与防范手段。
漏洞攻击逻辑
本次被爆的推特漏洞属于 xss 攻击，即代码注入攻击——攻击者可以提前构造好带有恶意代码的网站链接，用户点击之后就会在网页上执行恶意代码。
比如给出的例子中，恶意代码被 base64 编码后执行，实际执行的是 alert('XSS PoC here')。
当用户访问这个恶意链接，网页就会执行这段代码，弹窗出该字符串：
用户如何防范？
因为这种构造代码是需要放在网址里的，就会导致恶意链接的长度很长。
因此用户在刷推遇到超长的链接时，不要点击！或者实在想看，可以复制出来，开个浏览器无痕模式查看。
总之，不要在登陆 Twitter 账户的浏览器上点击不明长链接。
如果万一不幸中招，立即修改推特密码即可，这种攻击最有价值的是是盗取你的推特 auth_token，修改密码会导致之前的 auth_token 失效。
If you find submirror valuable, please consider donate to wong2.eth to help cover server cost.
申明：本站所发布文章仅代表个人观点，不代表链嗅网立场。
提示：投资有风险，入市须谨慎。本资讯不作为投资理财建议。
相关推荐
-
基于 Telegram 最大的 Web3 社交基础设施 UXLink，能否开启 Link to Earn 的 SocialFi 新纪元？
作者：UXLink
UXLink是基于Telegram生态最大的Web3社交基础设施项目，已链接超过169万用户，并且获得了真格、红杉、GGV的投资青睐。UXLink基于Telegram真实社交信息的社群作为社交场景，打在一系列社群管理模块化服务，为WEB3用户建立了一个高效、安全、快捷、高自由度的链上社交产品。用户可以根据喜好、使用UXLink的社群管理工具，实现多元化的社群商业场景。
同时UXLink也推出了属于自己产品的第一个商业场景“Link-to-earn”。用户在UXLink的社群中，只… -
形式化验证Gasper共识机制的终局性（finalization）
使协议的描述能更准确、更完整。让 “终局化（finalization）” 获得了更通用的形式。因为演绎论证保证没有未经指明的假设。
-
Axiom：填补 Web3 数据访问的空白，赋予智能合约新能力
Axiom旨在解决由于缺乏不可靠的数据访问和计算而导致的 Web3 应用程序乏善可陈的挑战。
撰写：camiinthisthang
编译：深潮 TechFlow
“把所有东西都放在链上”对我来说一直感觉有点牵强。没有理由把许多东西放在链上，因为除了永久存储之外，你没法对这些数据做太多事情。虽然 The Graph 和类似的协议通过 GraphQL 实现了查询链上数据以用于前端集成的功能，包括全文搜索和过滤，但这些操作都是在客户端层面完成的。这意味着你实际上无法在智能合约层面利用这些数据来基于这些数据… -
本季度交割期权最大痛点符合 SEC遭四名众议院议员联名上书 美国政府停摆概率上升 — 2023.9.27
本季度交割期权最大痛点符合 SEC遭四名众议院议员联名上书 美国政府停摆概率上升 — 2023.9.27https://medium.com/media/ebd1842ecd266e4210eaad27b0687d15/href今天一早就刷到了两条信息，第一条是大家应该都知道的，SEC提前推迟了本来应该在11月11日通报的木头姐旗下 21Shares&ARK 提交的BTC现货ETF的申请，这是自木头姐最初于4月份申请该ETF以来，SEC第三次做出推延的决定。下一次的通告期已经是2023年的1…
评论列表（1条）
I don’t think the title of your article matches the content lol. Just kidding, mainly because I had some doubts after reading the article.