「核弹级」漏洞砸中 Twitter，黑客可以控制你的账户？
如何防范？刷推遇到超长链接，不要点击！万一不幸中招，立即修改密码即可。
撰文：shingle、Frank，Foresight News
最新消息：Paradigm 研究员 samczsun 再次发推称，Twitter 漏洞已修复，技术摘要为 Twitter 子域中的反射 XSS 和 CORS/CSP 旁路允许以本地验证用户身份对 Twitter API 进行任意请求。
以下为原文：今日上午，加州伯克利分校博士研究生 Chaofan Shou 发推披露，发现 Twitter 存在未修复的漏洞，随后 Paradigm 研究员 samczsun 援引 Chaofan Shou 表示，用户如果点击了黑客准备的链接，黑客就能完全访问你的 Twitter 账户，包括可以发推、转发、点赞、屏蔽等。
截至发文时，Twitter 尚未就此发布官方声明，Foresight News 在此简单分析了下该漏洞的攻击逻辑，以及普通用户的安全须知与防范手段。
漏洞攻击逻辑
本次被爆的推特漏洞属于 xss 攻击，即代码注入攻击——攻击者可以提前构造好带有恶意代码的网站链接，用户点击之后就会在网页上执行恶意代码。
比如给出的例子中，恶意代码被 base64 编码后执行，实际执行的是 alert(‘XSS PoC here’)。
当用户访问这个恶意链接，网页就会执行这段代码，弹窗出该字符串：
用户如何防范？
因为这种构造代码是需要放在网址里的，就会导致恶意链接的长度很长。
因此用户在刷推遇到超长的链接时，不要点击！或者实在想看，可以复制出来，开个浏览器无痕模式查看。
总之，不要在登陆 Twitter 账户的浏览器上点击不明长链接。
如果万一不幸中招，立即修改推特密码即可，这种攻击最有价值的是是盗取你的推特 auth_token，修改密码会导致之前的 auth_token 失效。
If you find submirror valuable, please consider donate to wong2.eth to help cover server cost.
如何防范？刷推遇到超长链接，不要点击！万一不幸中招，立即修改密码即可。
撰文：shingle、Frank，Foresight News
最新消息：Paradigm 研究员 samczsun 再次发推称，Twitter 漏洞已修复，技术摘要为 Twitter 子域中的反射 XSS 和 CORS/CSP 旁路允许以本地验证用户身份对 Twitter API 进行任意请求。
以下为原文：今日上午，加州伯克利分校博士研究生 Chaofan Shou 发推披露，发现 Twitter 存在未修复的漏洞，随后 Paradigm 研究员 samczsun 援引 Chaofan Shou 表示，用户如果点击了黑客准备的链接，黑客就能完全访问你的 Twitter 账户，包括可以发推、转发、点赞、屏蔽等。
截至发文时，Twitter 尚未就此发布官方声明，Foresight News 在此简单分析了下该漏洞的攻击逻辑，以及普通用户的安全须知与防范手段。
漏洞攻击逻辑
本次被爆的推特漏洞属于 xss 攻击，即代码注入攻击——攻击者可以提前构造好带有恶意代码的网站链接，用户点击之后就会在网页上执行恶意代码。
比如给出的例子中，恶意代码被 base64 编码后执行，实际执行的是 alert('XSS PoC here')。
当用户访问这个恶意链接，网页就会执行这段代码，弹窗出该字符串：
用户如何防范？
因为这种构造代码是需要放在网址里的，就会导致恶意链接的长度很长。
因此用户在刷推遇到超长的链接时，不要点击！或者实在想看，可以复制出来，开个浏览器无痕模式查看。
总之，不要在登陆 Twitter 账户的浏览器上点击不明长链接。
如果万一不幸中招，立即修改推特密码即可，这种攻击最有价值的是是盗取你的推特 auth_token，修改密码会导致之前的 auth_token 失效。
If you find submirror valuable, please consider donate to wong2.eth to help cover server cost.
申明：本站所发布文章仅代表个人观点，不代表链嗅网立场。
提示：投资有风险，入市须谨慎。本资讯不作为投资理财建议。
相关推荐
-
加密谷日报丨DeFi 总锁仓量达 70 亿美元，一日内增长 10 亿美元
『市场』 以太坊期货未平仓合约首次突破15亿美元 随着以太坊价格的上涨。（AMBCrypto） 『 投融资 』 区块链开发公司 Kira Core 完成 250 万美元种子轮融资以开发「多绑定 PoS 机制」 区块链开发公司 Kira Core 完成一轮 250 万美元的种子轮及私募轮融资。
-
Frax 创始人: 稳定币需专注于单一实体资产和匹配利率变动环境
单一现实世界资产论点通过强调单一政府支持的实体资产和直接获取利率的重要性，旨在保证稳定币的稳定性和可扩展性。
撰写：Kyrian Alex
编译：深潮 TechFlow
稳定币长期以来一直是构建 Defi 的基石。这些旨在维持稳定价值的数字资产在加密生态系统中发挥着关键作用，从交易和借贷到汇款和支付。在各种稳定币项目中，一位有远见的创始人——Frax 联合创始人 Sam Kazemian，提出了一个发人深省的概念：单一现实世界资产（Single Real World Asset ）理论。Sam …
-
详解订单流拍卖 （OFA）：改变 MEV 格局的 5 个关键步骤
由于“订单流拍卖（OFA）”的出现，曾经被比作高额扑克游戏的 MEV 已经转变成为一个包容性的扑克锦标赛。
撰写：EIGENPHI
编译：深潮 TechFlow
随着区块链和加密货币世界的不断发展，了解它们的动态变化对我们极为重要。其中一项发展就是“矿工可提取价值（MEV）”的转变。由于“订单流拍卖（OFA）”的出现，曾经被比作高额扑克游戏的 MEV 已经转变成为一个包容性的扑克锦标赛。那些 VIP 专属通道和房间规则的日子一去不复返了。那么，什么是 OFA，为什么它正在革新 MEV 的世界呢？…
评论列表（1条）
I don’t think the title of your article matches the content lol. Just kidding, mainly because I had some doubts after reading the article.