今日运势评分

-1

本月运势

戊寅月

震荡偏多

癸水为财，亥子丑三会水

壬不泱水更难提防
戌不吃犬作怪上床

宜

祭祀,塞穴,结网,破土,谢土,安葬,移柩,除服,成服,馀事勿取

忌

嫁娶,入宅

月相

有明

底部反弹

日冲

Powered by RitMEX

注册/

TRUMP16.14 -1.10%

SUI3.37 -0.33%

TON3.80 3.68%

TRX0.24 2.31%

DOGE0.24 0.42%

XRP2.56 -0.87%

SOL169.77 -2.06%

BNB655.69 -0.06%

ETH2814.00 3.12%

BTC96038.77 -0.58%

ETH Gas0.76 Gwei

中性

49

首页 深潮精选 Research 项目发现 7x24h︎快讯 最新活动

「核弹级」漏洞砸中 Twitter，黑客可以控制你的账户？

2023.12.13 - 438 天前

如何防范？刷推遇到超长链接，不要点击！万一不幸中招，立即修改密码即可。

撰文：shingle、Frank，Foresight News

最新消息：Paradigm 研究员 samczsun 再次发推称，Twitter 漏洞已修复，技术摘要为 Twitter 子域中的反射 XSS 和 CORS/CSP 旁路允许以本地验证用户身份对 Twitter API 进行任意请求。

以下为原文：今日上午，加州伯克利分校博士研究生 Chaofan Shou 发推披露，发现 Twitter 存在未修复的漏洞，随后 Paradigm 研究员 samczsun 援引 Chaofan Shou 表示，用户如果点击了黑客准备的链接，黑客就能完全访问你的 Twitter 账户，包括可以发推、转发、点赞、屏蔽等。

截至发文时，Twitter 尚未就此发布官方声明，Foresight News 在此简单分析了下该漏洞的攻击逻辑，以及普通用户的安全须知与防范手段。

漏洞攻击逻辑

本次被爆的推特漏洞属于 xss 攻击，即代码注入攻击——攻击者可以提前构造好带有恶意代码的网站链接，用户点击之后就会在网页上执行恶意代码。

比如给出的例子中，恶意代码被 base64 编码后执行，实际执行的是 alert('XSS PoC here')。

当用户访问这个恶意链接，网页就会执行这段代码，弹窗出该字符串：

用户如何防范？

因为这种构造代码是需要放在网址里的，就会导致恶意链接的长度很长。

因此用户在刷推遇到超长的链接时，不要点击！或者实在想看，可以复制出来，开个浏览器无痕模式查看。

总之，不要在登陆 Twitter 账户的浏览器上点击不明长链接。

如果万一不幸中招，立即修改推特密码即可，这种攻击最有价值的是是盗取你的推特 auth_token，修改密码会导致之前的 auth_token 失效。

欢迎加入深潮TechFlow官方社群

Telegram订阅群：https://t.me/TechFlowDaily
Twitter官方账号：https://x.com/TechFlowPost
Twitter英文账号：https://x.com/DeFlow_Intern

原文链接

添加收藏

分享社交媒体

作者

Foresight NewsForesight News

相关文章

2025.02.22 - 昨天

再次盗取15亿美元加密货币，朝鲜如何培养出世界一流黑客的？

在键盘取代导弹的新时代，年轻黑客们的键盘将会成为加密货币的达摩克利斯之剑。

原创朝鲜黑客

2025.02.21 - 前天

加密右翼浪潮下的 Web3 社区建设

从早期的技术理想主义到如今的金融化和资本集中化，Web3社区正在经历一场从“左”到“右”的深刻转变。

2025.02.21 - 前天

Meme 退潮、大额解锁，Solana“好运”用完了？

近期Meme明显“退潮”迹象，加上临近的超大额解锁，可谓是祸不单行，Solana压力倍增，它的“好运”真的用完吗了？

Meme

2025.02.21 - 前天

实测百度搜索 DeepSeek 满血版：“为我所用”还是“拿来主义”？

百度搜索目前已全量上线DeepSeek满血版并提供联网服务，其中PC端开放仅1小时就有超千万人使用。

百度 DeepSeek

2025.02.21 - 前天

月之暗面 MoBA 核心作者自述：一个 “新晋大模型训练师” 的三入思过崖

“从开源论文、开源代码出发，现在已经进化到开源思维链了嘛！”

大模型

2025.02.21 - 前天

访谈了 10 个职场卷王，看看他们都在用哪些 AI？

一文精选30+个职场“自我增效”实用AI。

AI

2025.02.21 - 前天

为何金融走在每一个生产变革的前面？

金融在以区块链为代表的第四次工业革命中，从交易结算、价值传递到创新激发、生产关系变革以及产业升级等多个维度，都发挥着不可替代的关键作用。

金融

2025.02.21 - 前天

外部创新与内生困境：Crypto 在迷雾中航行

MemeCoin 的退潮背后或许正藏着一个转折点，人类的未来里未必只有AI。

2025.02.21 - 前天

Alliance DAO：AI 已彻底改变了创业公司，提前思考竞争优势比产品契合度更重要

在当下，提前思考 PMF 之后的竞争优势可能比以往任何时候都更加重要。

AI

2025.02.21 - 前天

2025年加密货币九大趋势：AI、DeFi、代币化与更多创新发展

探讨九大影响加密市场的核心趋势，从实体资产代币化（RWA）到 DeFi 与 AI 的结合，帮助你了解 2025 年最值得关注的区块链发展方向。

7x24h 快讯︎更多

02月23日 22:02: Michael Saylor 再次发布比特币 Tracker 相关信息，或将继续增持BTC

02月23日 21:57: Greeks.live：整体市场情绪保持谨慎看多，密切关注 9.9 万美元关键阻力位

02月23日 21:06: 数据：SUI、OP、ZETA 等代币将于下周迎来大额解锁

02月23日 20:58: Bybit：有欺诈者会冒充 Bybit 员工，社区需保持警惕

02月23日 20:54: Mirana Ventures 于 40 分钟前向 Bybit Deposit 转移了 1 万枚 ETH

02月23日 20:36: 美国卫生与公众服务部部长 RFK. Jr.：我是比特币的坚定支持者

02月23日 20:29: Bybit 黑客已将 3.79 万枚 ETH 跨链兑换为其它资产

02月23日 20:19: BTC 跌破 96,000 美元，24 小时跌幅 0.66%

深潮精选更多

: Berachain 上能玩什么？全面了解主网关键应用和收益策略
2025.02.21

: SBF 狱中最新采访：FTX 从来没破产，只是流动性危机
2025.02.21

: 解读 Origin：告别传统 ICO，打破代币发行三难困境
2025.02.21

: 加密早报：Canary 的 LTC ETF 已在 DTCC 网站列出，以太坊基金会招聘社交媒体经理
2025.02.21

: 解读 Virtuals 推出的新协议 ACP：让 AI Agent 之间可信交易与协作，赛道乏力时的新机会
2025.02.20

TechFlow Selected深潮精选

「核弹级」漏洞砸中 Twitter，黑客可以控制你的账户？

如何防范？刷推遇到超长链接，不要点击！万一不幸中招，立即修改密码即可。

2023.12.13

专注Web3行业深度报道，洞察潮水流动的方向

我要投稿

Hainan Chaodong Technology Co., Ltd. 联系我们 / support@techflowpost.com 琼ICP备2022009338号

FOLLOW US

扫码关注公众号