内容简介：研究人员首先发现一个Facebook中一个非常讨厌的垃圾邮件活动，许多好友都发布了位于AWS bucket上的链接。该链接是一个有许多笑话的法国网站，这样的网站谁不会点呢？其中的一个垃圾邮件链接
研究人员首先发现一个Facebook中一个非常讨厌的垃圾邮件活动，许多好友都发布了位于AWS bucket上的链接。该链接是一个有许多笑话的法国网站，这样的网站谁不会点呢？
其中的一个垃圾邮件链接
如果有人点击了该链接，就会看到位于AWS bucket的网站。网站会要求用户确认是否大于16周岁，然后才能访问限制级内容。用户点击按钮后，会被重定向到一个有很多笑话的页面。同时刚才点击的链接会出现在Facebook wall（留言板）上。这是怎么做到的呢？
Clickjacking页面
研究人员分析页面源代码发现一个可疑的iframe tag，看似与clickjacking有关。该frame指向另一个位于AWS的页面，该页面最终会执行下面的Facebook URL:
把该链接复制到浏览器中，会看到一个来自Facebook的分享窗口。查看响应头，发现该页面设置了X-Frame-Options: DENY header，所以不应该是clickjacking攻击。
可疑的iframe代码
研究人员在Chrome, Chromium, Edge, IE, Firefox等主流浏览器中进行了测试，测试结果完全一样。每次在浏览器中加载该iframe都会引发X-Frame-Options错误。
准确的Chromium行为
研究人员对此很疑惑，同时研究人员发现攻击者禁止波兰用户将该站点重定向。看起来攻击者的主要目标是法国的Facebook用户，但同时也有许多来自波兰的流量。
禁止来自波兰的受害者的简单脚本
研究人员进一步分析发现不能使用桌面版浏览器，因为iframe中有mobile.子域名的暗示。因此，研究人员在Android Facebook App中加载该域名发现竟然可以正常工作。X-Frame-Options header中的内容被忽略了。
研究人员认为Facebook内置的浏览器会选择性地为特定的API调用忽略X-Frame-Options header。
研究人员查看Facebook开发者文档，看似这并不是一个bug，而是一个特征。开发者文档中有一个名为mobile_iframe的特殊参数：
if set to true the share button will open the share dialog in an iframe on top of your website […] This option is only available for mobile, not desktop
从开发者文档来看，这确实应该是一个特征，但就算是特征也是实现很差的特征。
研究人员22日确认这是一个特征，因为如果用户从手机设备连接Facebook，Facebook甚至不会为该网站设置X-Frame-Options header。而且Facebook对手机用户还提供应对clickjacking的安全预警，即弹窗问用户是否想要分享该链接。该本文的描述证明了该弹窗并没有那么有效。
Facebook拒绝承认这是一个漏洞，认为这是“working as intended”，而且不会提供修复方案。
PoC
研究人员同时给出了poc：
1.注册新的Facebook App账号
2.打开API
3.用下面的html代码创建新网站：
<html><body><iframe style="margin-top: -300;width: 100%;height: 340px;" id="tenframe" src="https://facebook.com/v3.2/dialog/share?app_id<your_app_id>&href=https://example.com/∈_iframe=1&locale=en_US&mobile_iframe=1" scrolling="no"></iframe></body></html>
需要将<your_app_id> 修改为你自己的APP id。
4.在Facebook wall上发布一个到该网站的链接；
5.在安卓Facebook APP上点击该链接，可以看到iframe被成功加载了。
以上就是本文的全部内容，希望本文的内容对大家的学习或者工作能带来一定的帮助，也希望大家多多支持 码农网
猜你喜欢:
- 使用动态分析技术分析 Java
- 使用动态分析技术分析 Java
- 案例分析：如何进行需求分析？
- 深度分析ConcurrentHashMap原理分析
- 如何分析“数据分析师”的岗位？
- EOS源码分析(3)案例分析
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
