X/Twitter安全系统似乎存在漏洞 可以冒充任意知名网站发帖 – 蓝点网
我要评论在 X/Twitter 上，安全如果网站已经按照开发者规范要求在网页源代码里添加了标头等数据，系统则这个网站的似乎qq游戏记牌器下载（疯狂qq记牌器）任何地址发布到 X 上时，都会额外显示网站域名以及图片等数据。存漏
要实现此功能 X 的冒充爬虫需要在用户发布内容时第一时间对目标链接进行抓取，如果抓取无法那就可以显示完整信息，任意并且后续变更后已经被抓取的知名数据也不会变更。
于是网站网这就产生了一个安全问题：有诈骗者在 X 上冒充知名新闻网站福布斯发布加密货币相关的内容，吸引币圈用户加入他们的发帖qq游戏记牌器下载（疯狂qq记牌器）社群，然后操作一些垃圾币来收割。蓝点
从下图中我们可以看到这种恶意利用的安全流程：
诈骗者在服务器上进行了 HTTP 302 临时重定向，当检测到不同的系统 UserAgent 时，可以返回不同的似乎临时重定向地址。
其中第一个测试截图是存漏不使用任何浏览器 UA 的情况下，模拟 X 爬虫系统进行抓取 (实际上 X 有爬虫，冒充叫做 TwitterBot，但没有其他 UA 信息，见结尾附注 1)，此时诈骗网站没有检测到有效的浏览器 UA，于是返回了福布斯网站的一个链接。
于是 X 会在推文发布后将其标注为来自福布斯网站。
第二个测试截图在附带浏览器 UA 的情况下，可以看到这个诈骗网站返回了他们的目标地址，那就是那个社群。
而用户正常点击链接那肯定是附带浏览器 UA 信息的，所以实际上点击都是返回社群地址，第一种情况仅仅只是用来迷惑 X 的爬虫。
值得注意的是，这种情况并不是现在才发生的，至少从去年 8 月开始已经有诈骗者使用这种方法进行钓鱼，不过至今 X 也没有解决这类问题。
附注 1：
X/Twitter 爬虫的完整信息：TwitterBot/1.0
相关文章
“‘天价彩礼’不仅偏离了彩礼的初衷，给付方家庭带来了沉重的经济负担，也埋下了婚姻稳定的隐患，甚至可能成为矛盾纠纷的导火索。所以我们提倡婚姻从爱开始。呼吁大家抵制高价彩礼，倡导婚姻新风，努力成为文明新风2025-03-12
堡垒之夜装备无尽之剑怎么样?无尽之剑有什么效果?对于堡垒之夜近战装备无尽之剑很多玩家有这个疑问，下面99单机网小编就为大家带来了堡垒之夜无尽之剑属性能力，想知道的看看吧。堡垒之夜无尽之剑能造成巨大伤害2025-03-12
《马里奥赛车8：豪华版》新增赛道通行证第六弹将追加MII车手套装
《马里奥赛车8：豪华版》新增赛道通行证第六弹将追加MII车手套装2023-11-09 18:22:56编辑：Yolo 马力2025-03-12
经典RTS游戏重制版《要塞：终极版》Steam正式发售2023-11-10 18:05:53编辑：Yolo 游戏还将具有“2025-03-12
3月10日，北京北汽在CBA常规赛第38轮客场以120-112击败浙江稠州金租队。在赢得这场排名卡位战的同时，北汽队连续六场获胜。北京北汽队赛前连续五场胜利，球队整体情况良好。在常规赛还剩10轮的情况2025-03-12
盛世芳华窗花祈福活动攻略发布时间：2023-01-18 09:24:23来源：逗游作者：予你盛世攻略组盛世芳华角色好玩的修仙游戏华丽游戏类别：角色扮演游戏大小：460.39M 游戏语言：简体中文游戏版2025-03-12
最新评论