[新聞時事] Twitter 遭受跨網站腳本攻擊

知名的微網誌 Twitter 在 21 日的 AM 2:54 收到警告，表示該網站存在一個跨網站腳本攻擊 (XSS) 的安全漏洞。但是根據其他網誌的報導，一個來自日本的資安研究員 Masato Kinugawa 表示他早在八月中就告知 Twitter 此一問題的存在，並利用此一漏洞做了一些不具破壞性的展示。Masato Kinugawa 將 Twitter 的頁面裝飾成七彩的顏色，並稱之為 Rainbow tweets。此一漏洞被揭露之後，許多人就開始發揮創意，不但產生各式各樣不同的行為，連觸發動作也由原來必須將滑鼠移到連結上 (onMouseOver) 改成自動啟動。後來甚至有了具備自動感染功能的蠕蟲出現，受害者包含前英國首相 Gordon Brown 的妻子 Sarah Brown。

這次的跨網站腳本攻擊來自於當使用者輸入的內容包含連結時 (如 http://www.twitter.com/) Twitter 會自動將其轉換成 html 的連結標籤 (<a>)，但是解析程式對於 @ 這個特殊字元的處理出現問題而導致。受影響的範圍主要為使用 Twitter 主網站服務的用戶，對於使用 3rd party 程式存取 Twitter 服務的用戶則不受影響。Twitter 則對外宣稱在收到通知之後的數個小時 (AM 7:00) 之內就把漏洞修補好了。

跨網站腳本攻擊的氾濫程度與嚴重性已經是老生常談的話題，雖然解法說起來很簡單，但是在執行上卻有其困難度。這次的事件還有另外一個需要注意的重點，那就是網站安全的不中斷性。不管你的網站其使用者是否來自於世界各地，對於駭客而言絕對沒有區域與時區的限制，所以如何建立一個 24 小時不中斷的安全機制與應變機制，對所有網站的經營者而言都是必須去認真思考的一個課題。

相關連結：

• Twitter Blog: All about the “onMouseOver” incident
• The Twitter hack: how it started and how it worked
• Twitter hit by worm that infect tweets with rogue code @SC Magazine UK