今日运势评分

-2

本月运势

戊子月

震荡偏多

丁破格，巳申合水

丁不剃头头必生疮
巳不远行财物伏藏

宜

祭祀,解除,馀事勿取

忌

诸事不宜

月相

有明

底部反弹

日冲

Powered by RitMEX

注册/

ONDO0.45 -1.28%

TRUMP5.46 -0.81%

SUI1.56 -3.47%

TON1.56 -3.27%

TRX0.28 2.48%

DOGE0.14 0.11%

XRP1.97 -1.53%

SOL132.89 1.33%

BNB887.42 -0.20%

ETH3139.76 1.65%

BTC89563.26 0.36%

ETH Gas0.36 Gwei

恐惧

21

首页 深潮精选 Research 项目发现 7x24h︎快讯 最新活动

「核弹级」漏洞砸中 Twitter，黑客可以控制你的账户？

2023.12.13 - 733 天前

如何防范？刷推遇到超长链接，不要点击！万一不幸中招，立即修改密码即可。

撰文：shingle、Frank，Foresight News

最新消息：Paradigm 研究员 samczsun 再次发推称，Twitter 漏洞已修复，技术摘要为 Twitter 子域中的反射 XSS 和 CORS/CSP 旁路允许以本地验证用户身份对 Twitter API 进行任意请求。

以下为原文：今日上午，加州伯克利分校博士研究生 Chaofan Shou 发推披露，发现 Twitter 存在未修复的漏洞，随后 Paradigm 研究员 samczsun 援引 Chaofan Shou 表示，用户如果点击了黑客准备的链接，黑客就能完全访问你的 Twitter 账户，包括可以发推、转发、点赞、屏蔽等。

截至发文时，Twitter 尚未就此发布官方声明，Foresight News 在此简单分析了下该漏洞的攻击逻辑，以及普通用户的安全须知与防范手段。

漏洞攻击逻辑

本次被爆的推特漏洞属于 xss 攻击，即代码注入攻击——攻击者可以提前构造好带有恶意代码的网站链接，用户点击之后就会在网页上执行恶意代码。

比如给出的例子中，恶意代码被 base64 编码后执行，实际执行的是 alert('XSS PoC here')。

当用户访问这个恶意链接，网页就会执行这段代码，弹窗出该字符串：

用户如何防范？

因为这种构造代码是需要放在网址里的，就会导致恶意链接的长度很长。

因此用户在刷推遇到超长的链接时，不要点击！或者实在想看，可以复制出来，开个浏览器无痕模式查看。

总之，不要在登陆 Twitter 账户的浏览器上点击不明长链接。

如果万一不幸中招，立即修改推特密码即可，这种攻击最有价值的是是盗取你的推特 auth_token，修改密码会导致之前的 auth_token 失效。

欢迎加入深潮TechFlow官方社群

Telegram订阅群：https://t.me/TechFlowDaily
Twitter官方账号：https://x.com/TechFlowPost
Twitter英文账号：https://x.com/BlockFlow_News

原文链接

添加收藏

分享社交媒体

作者

Foresight NewsForesight News

相关文章

2025.12.15 - 4 小时前

数字银行早已不做银行生意，真正的金矿在稳定币与身份认证

市场正逐步摒弃各平台分散的 KYC 流程，转向可跨服务、跨国家、跨平台使用的可移植性认证身份体系。

稳定币银行

2025.12.15 - 4 小时前

币圈印钞机欲收购尤文图斯：欧洲新老钱的攻防战

当 Paolo 满怀热忱地敲响尤文图斯的大门时，迎接他的没有鲜花，没有掌声。

Tether 尤文图斯

2025.12.15 - 4 小时前

「合法」的收割？特朗普夫妇 Meme 币狂欢背后的利益链与丑闻

没人愿意因为帮助第一对夫妇推出从峰值暴跌 90% 以上的加密货币而获得功劳。

Meme

2025.12.15 - 6 小时前

币圈大佬齐聚阿布扎比，称阿联酋是「币圈的新华尔街」

熊市抱团拥抱金主！

阿布扎比

2025.12.15 - 6 小时前

巴基斯坦，从「巴铁兄」到「链上铁」？

巴基斯坦拥有超过 2.4 亿人口，数字支付接受度不断提高，加密货币的渗透率还有很大的上升空间。

巴基斯坦

2025.12.15 - 6 小时前

小盘代币跌至四年低点，「山寨牛」彻底没希望了？

尽管与加密大盘代币的相关性高达 0.9，却未能提供任何多元化价值。

山寨

2025.12.15 - 7 小时前

为何大语言模型并不会比你更聪明？

只有在结构建立好之后，大语言模型才能安全地转换成通俗语言，且不会导致理解质量下降。

大语言

2025.12.15 - 7 小时前

2025 Crypto x AI 年度复盘：哪些叙事活下来了？

整个行业正在从叙事转向基础设施，从投机转向系统化解决方案，从炒作转向实际产品。

AI

2025.12.15 - 7 小时前

如果你觉得加密变得“无聊”，说明你看懂了游戏的终局

十年前加密爱好者所设想的一切，正在慢慢变得“无聊”到足够实用，而这一切正发生在关键时刻。

2025.12.15 - 10 小时前

山寨币 ETF 全面开闸：数据透视、机遇与风险解析

本文将围绕比特币与以太坊ETF 的示范效应、山寨币 ETF 的批量上市热潮以及正在申请中的潜在标的，对当前山寨币 ETF 的整体发展脉络进行系统梳理。

山寨币

7x24h 快讯︎更多

12月15日 21:49: 电子交易平台运营商Tradeweb完成首笔链上电子化经纪存单拍卖

12月15日 21:38: DeFi Technologies 将在巴西 B3 交易所推出巴西存托凭证 DEFT31

12月15日 21:33: BitMine：上周增持102,259枚ETH，总持仓量达到约3,967,210枚

12月15日 21:31: 疑似 XPIN 团队钱包再次将价值 56 万美元的代币转入交易所

12月15日 21:29: 新加坡一专业天使投资者遭钓鱼诈骗，损失 10 万元加密货币

12月15日 21:26: WLFI 联创：币安将新增 DOGE、SUI 和 XRP 的 USD1 交易对

12月15日 21:25: 美股上市公司Marygold Companies推出石油比特币策略基金WTIB

12月15日 21:21: 10x Research：比特币毫无疑问已进入熊市

深潮精选更多

: 数字银行早已不做银行生意，真正的金矿在稳定币与身份认证
2025.12.15

: 「合法」的收割？特朗普夫妇 Meme 币狂欢背后的利益链与丑闻
2025.12.15

: 巴基斯坦，从「巴铁兄」到「链上铁」？
2025.12.15

: 为何大语言模型并不会比你更聪明？
2025.12.15

: 2025 Crypto x AI 年度复盘：哪些叙事活下来了？
2025.12.15

TechFlow Selected深潮精选

「核弹级」漏洞砸中 Twitter，黑客可以控制你的账户？

如何防范？刷推遇到超长链接，不要点击！万一不幸中招，立即修改密码即可。

2023.12.13

专注Web3行业深度报道，洞察潮水流动的方向

我要投稿

风险提示：本网站所有内容不构成投资建议，且无任何带单、引导交易服务；根据央行等十部委发布《关于进一步防范和处置虚拟货币交易炒作风险的通知》请读者提高风险意识。联系我们 / support@techflowpost.com 琼ICP备2022009338号

FOLLOW US

扫码关注公众号