Google Chrome 错误授予对私有的访问权限 Facebook 信息

中的一个关键缺陷 Google Chrome 已发现允许攻击者访问存储在 Facebook 服务器。 该漏洞利用音频和视频 HTML 标签,结合网站使用的过滤功能,将查询发送到专门的 Facebook 揭示用户信息的帖子。

在 Blink 引擎中发现 Google Chrome,该漏洞允许黑客在恶意网站上放置隐藏的音频或视频标签,然后将其注入用户的浏览器并利用 Facebook 另一个选项卡中的页面。 据安全研究人员称,注入脚本将能够与 Facebook 如果用户有 Facebook 访问恶意站点时在另一个选项卡中打开页面。

攻击利用脚本向 Facebook 具有某些受众限制的页面,例如只有俄亥俄州用户才能查看的帖子。 通过解码这些帖子的响应,攻击者能够通过查看请求是否通过来确定用户是否位于俄亥俄州。 通过玩“20 个问题”的数字游戏,攻击者可以推断出用户的私人信息,例如位置、性别或发帖历史。

在用户退出恶意站点之前,这可能看起来像是大量工作会失败,但攻击者能够将多个脚本注入浏览器,每个脚本都可以处理特定的数据元素。 研究人员发现,这种性质的攻击可以在几秒钟内为用户建立详细的个人资料。

Imperva 的安全研究员 Ron Masas 在接受采访时表示:“攻击者可以开始‘询问 Facebook’ 是或否的问题,通过发送请求到特定的 Facebook 发布并估计它们的大小(小响应 = 假,大响应 = 真)。 我设法找到了创造性的方法来制作 Facebook 使用帖子的受众限制反映各种信息,以及 Facebook 图搜索端点。 似乎将“预加载”属性设置为“元数据”改变了“onprogress”事件被调用的次数,这种调用方式似乎与请求的资源大小有关。 为了验证我的假设,我创建了一个简单的 NodeJS HTTP 服务器,它生成一个给定参数大小的响应。 然后我使用这个服务器端点作为 JavaScript 的资源。”

幸运的是 Chrome 用户,这个bug只影响67及更早版本的浏览器,并在7月份的68版本中进行了修补。 鼓励读者更新他们的 Google Chrome 如果他们还没有安装。

这个漏洞再次提醒人们,社交媒体平台喜欢 Facebook 是攻击者的金矿。 虽然我们无法阻止攻击者试图获取我们的数据,但我们可以最大限度地减少在线可用的关于我们的数据。 如果可能的话,首先避免使用社交媒体,但如果你必须使用它,请特别注意你交出的信息。 您的数据有可能(在某些情况下很可能)会落入坏人之手,因此,从一开始就不要将数据放到网上,从而最大限度地降低数据被盗的风险。