6月28日晚间20时左右,新浪出现了一次比较大的XSS(跨站脚本)漏洞攻击,"中毒"的微博用户会自动向自己的粉丝发送诸如"建党大业中穿帮的地方"、"个税起征点有望提到4000"、"郭美美事件的一些未注意到的细节"、"3D肉团团高清普通话版种子"等含毒的微博与私信,并自动关注一位名为hellosamy,粉丝点击后会再次中毒,然后形成恶性循环。新浪微博蠕虫爆发仅执续了16分钟,受影响用户就达到将近33000个。本次攻击仅做了发微博、加关注和发私信等操作,暂时没有其它恶意行为。
眼前的新浪微博蠕虫事件不禁让我们又想到2009年的Twitter的蠕虫事件(来源:),二者有很多共同之处,向好友或粉丝发信息("中毒"链接)、增加关注度、点击传播,虽然没有盗取用户的任何账户信息,但却都给用户造成了很大的麻烦。此次,web蠕虫同样利用了新浪微博中某个页面存在的XSS跨站漏洞,导致用户浏览时执行了第三方网站中的恶意脚本,随后蠕虫继续通过这些用户进行传播。它利用SNS用户间的人际关系、带有诱惑性字样的博文,引起别人关注并点击,从而得到大范围的传播,这是SNS类蠕虫中较为普遍的形式。
本次新浪web蠕虫事件是一个非存储型XSS利用,即攻击串是保存在web服务端,但是感染受害的是点击访问的用户。从安全的角度,新浪的web服务器端首先是尽快检测发现并清除相应的攻击串,再次是修补其web应用程序的XSS漏洞,这是临时的应急措施,最好今后web运营中部署目前专业的web应用防火墙设备进行保护。而作为上网冲浪的用户,应该在客户端或者网关处部署专业的防病毒产品,实时检测过滤访问请求的内容,以过滤掉恶意的站点或连接。
随着互联网的普及,我们的工作、生活与互联网密不可分,Web应用安全的地位也日益重要。此次,新浪web蠕虫事件,虽然仅限于滥发含毒私信和连接,但是并不是所有的web蠕虫都如此"善良",利用web蠕虫窃取微博帐户、窃取用户信息的事件早就发生过,例如2005年,Samy Kamkar利用MySpace的漏洞注册了会员,并公开所有账户资料,然后复制JavaScript片段到查看过他资料的用户账号上,继续传递,于是在24小时内,他的好友达到100万以上。这些事件无论是给web经营者还是web访问者都带来了警示,如何保护web服务运营的安全性?如何保护自身上网的安全性?
安信华公司多年来致力于web服务运营安全和用户端的上网安全,不仅具有专业的web应用防火墙S系列网关设备保护用户web服务的安全运营,还具有专业的上网安全设备,实时保护上网终端的安全性。此次,新浪蠕虫事件,安信华的网络安全试验室迅速响应,不仅加强关注其客户web服务器的流量安全,还迅速升级了其上网安全网关的恶意站点库,保护其用户上网时免受新浪web蠕虫的危害。在此,安信华互联网安全实验室的专家提醒客户遇到此种事情不要惊慌,可以上报专业的互联网安全机构,也可以征询专业人员的服务帮助,以快速进行应急处理。
浅析新浪微博Web蠕虫事件 XSS漏洞
精选 转载上一篇:Skype通讯协定被逆向工程
下一篇:想成功,下面就是你必须要做到的!
提问和评论都可以,用心的回复会被更多人看到
评论
发布评论
相关文章
-
web漏洞-XSS
web漏洞-XSS
运维安全 web -
采集新浪微博
微博有反爬虫机制,这是一种比较省力的方式。
采集 新浪微博 github -
新浪微博redis 新浪微博热度怎么算
实现一个内容系统的问答排名,了解一下几个经典的算法hacker news的排名算法hacker news上面的热度排名多年以来能够很好的反映绝大多数用户的喜好,热度比较高的的文章也不会一直出现在前列,从而导致没有新的内容被关注,他们会按照文章的票数多少和发布时间对文章进行一些逻辑处理得到对应的热度排序。Score=(P−1)(T+2)G S
新浪微博redis 热度排序算法 hacker news的排名算法 Reddit的排名算法 排名算法