私たちは皆Facebookが大好きですが、Facebookがどれほど安全か知っていますか? どうやら, 本来あるべきほど安全ではない, 独立したセキュリティ研究者によって開示されたように ジャックウィットンはfin1teとしても知られています. 英国の研究者は、XSSバグを含む信じられないほどの物語を発表しました (クロスサイトスクリプティング) およびFacebookのコンテンツ配信ネットワーク.
研究者は7月にバグを報告しました 2015 でも数日前まで公開されませんでした.
XSSバグが危険な理由?
XSSの脆弱性とは何ですか? XSSを利用した攻撃は、悪意のある攻撃者が正当なWebサイトに悪意のあるスクリプトを実装したときに発生します。. XSSの脆弱性は、次の場合に悪用されます。, 例えば, 悪意のあるJavaScriptが埋め込まれたWebサイトコンテンツを送信する. ウェブサイトは後でその返信にコードを含めます.
Webサイトに別のソースからのコンテンツが表示されるたび (アップロードされたファイルやURLアドレスに含まれているものなど), Webサイトは、疑わしい文字を除外する必要があります. このような文字には通常、角かっこと < > 兆候. このような記号は、画像として管理する必要があるページの部分を示すために使用されます, リンク, スクリプト, 等.
Photos.Facebook.comのXSSバグ
fin1teは何を見つけましたか? 研究者はphotos.facebook.comでURLを作成する方法を見つけました, コンテンツ配信ネットワークから彼の特別に細工されたファイルを割り当てるためにリダイレクトされました (CDN). 言い換えると, 彼は隠しスクリプトをCDNにアップロードすることに成功しました, 無邪気に偽装されたリンクの助けを借りてそれを取得します.
ユーザーがクリックすると, スクリプトは、公式のFacebookスクリプトのようにブラウザで実行されます. ユーザーがログインしている場合, 細工されたスクリプトは、ユーザーが行うことを実質的にすべて行うことができます–メッセージを投稿する, 写真, 個人データへのアクセスを取得する, 等.
ソーシャルネットワークがどのように機能するかを念頭に置いて, そのようなスクリプトは簡単にウイルスに感染する可能性があります, ネガティブな面で. そのため、XSSバグを含む攻撃は ワームのような脅威. デプロイして、任意のネットワークに自動的に拡散させることができます, したがって、ネットワークワームまたはウイルスに変わります.
XSSのバグは、研究者がFacebookに報告した直後に修正されました。. それにもかかわらず, Facebookのセキュリティエンジニアがより良いソリューションを実装するのに十分な時間を確保できるように、彼は半年待って公開しました. 彼は授与されました $7500.
ミレーナ・ディミトロワ
プロジェクトの開始以来SensorsTechForumに所属しているインスピレーションを得たライター兼コンテンツマネージャー. の専門家 10+ 魅力的なコンテンツの作成における長年の経験. ユーザーのプライバシーとマルウェア開発に焦点を当てています, 彼女はサイバーセキュリティが中心的な役割を果たす世界を強く信じています. 常識が意味をなさない場合, 彼女はメモを取るためにそこにいます. それらのメモは後で記事になる可能性があります! Milena@Milenyimをフォローする
フォローしてください: