最近Facebook XSS利用详细信息

Question

最近Facebook上有一个XSS漏洞，它发布了一条粗俗的信息，让用户点击一个链接来传播有效载荷。哪些漏洞被利用了，其他网站能做些什么来避免类似的攻击呢？

Answer 1

这里是一个很好的总体参考http://cwe.mitre.org/data/definitions/79.html

根据www.infosecisland.com：

赛门铁克坦率地说：“这个漏洞存在于Facebook的移动API版本中，原因是JavaScript过滤不足。例如，它允许任何网站包括一个包含JavaScript的恶意准备的iframe元素，或者使用http-equiv属性的”刷新“值将浏览器重定向到包含JavaScript的已准备好的URL。”“任何登录Facebook并访问包含这样一个元素的网站的用户，都会自动将一条任意的消息发布到他或她的墙上。不需要其他用户交互，也不需要使用任何技巧，比如点击劫持。”“只要访问受感染的网站，就足以发布攻击者选择的信息。因此，其中一些信息在Facebook上传播得非常快，这一点也就不足为奇了。还有一些人则会发布到受感染网站的链接，从而产生XSS蠕虫，从用户传播到另一个用户。”Facebook已经修补了基于JavaScript的XSS漏洞，该公司表示，他们正在努力消除攻击造成的损害。

因此，这个问题与中和输入到网页的数据有关。

Answer 2

当然，我们现在生活在互联网时代，所以，有一个视频！

https://www.youtube.com/watch?v=QcSAU16wjHQ

它几乎有10分钟长，包含了您想要的所有细节，检查了利用的代码及其功能。