Facebook 出現點閱綁架(Clickjacking)之攻擊手法分析

參考新聞：
ZDNet Taiwan: Facebook出現惡意連結讓你說讚
ITHome: Sophos：點閱綁架侵襲Facebook
資安之眼：玩臉書喊「讚」 小心陷阱
Graham Cluley’s blog: Viral clickjacking 'Like' worm hits Facebook users

YouTube: hundreds of thousands of people over this hoilday weekend were infected by a clickjacking worm

模擬實戰標籤綁架手法(Challenge to TabNapping)

暨「點閱綁架(Clickjacking)」手法之後，又出現「標籤綁架(TabNapping)」的新手法了。
直接來親身體驗吧！這裡有實作的體驗網站 （FireFox 確定可以被利用）。畫面如下：

攻擊與防禦思維 II

有鑑於前一篇「攻擊與防禦思維」太過於消極，所以這邊平反一下，還是要正面思考...(丟筆...

一、「攻擊者積極，防守者消極」
1.防守士氣：這點是非常重要的。主官如何激勵士氣，為首要要務。如果沒有士氣，砸再多資安防護設備也是枉然。士氣有多重要，可以看看這個新聞，不過一般常見士氣不彰的結果，是會造成人員異動頻繁的。話說回來，不只是資安單位，整個公司的氛圍更重要，這不是多高薪水能禰補的，唯一不受影響的只有肥貓。且一旦士氣萎靡，要提升可不是短時間就可以達成的，務必多加留意。
2.內部該「一致」對駭客：很多狀況是，明明野生動物在門口拉的一坨屎，兩鄰居卻大打出手，終身不相往來。如何避免這種狀況，考驗主管們的 EQ 了。很多問題其是沒有對錯的。

攻擊與防禦思維

看完 Roamer 大大的「駭客想得和你不一樣！」一文，有頗深的感觸。

「為什麼這麼多單位通過了資安認證後，卻還是被黑得很慘。」
首先「通過資安認證」跟「被黑得很慘」沒有太大關係，沒有通過驗證的單位也有沒被黑過的。怎解釋呢？我想得從資安認證的目地說起了。絕大部分資安認證的目的是為了「絕對安全」嗎？是真的為了把「資安做好」嗎？但是，通過認證後卻都異口同聲的說：我們的資安防護很安全。

突然想起馬雲的一句話：「西方人的智慧，是看見別人看不見的東西；東方人的智慧，是看見當作沒看見。」

Please Rob Me!! XD ~~

有郭網站：「Please Rob Me」
http://pleaserobme.com/

這個 Blog 中有很詳細的相關說明。裡面有段話我很喜歡：
「...我們不是在嚇大家不要分享任何資訊，也不是告訴大家地理資訊的應用都是不好的，而只是做善意的提醒：在你分享之前，先想想會不會有什麼嚴重的後果！分享地理資訊不全然是件壞事，只是要用對場合與方式！...」
~~來源為 [Mr./Ms. Days (MMDays) – 網路, 資訊, 觀察, 生活]部落格網站~~

再回想一下我之前的一篇文：「誰在看我的噗」。

我只能說，你自己如果也不尊重自己的隱私，哪，將會沒有人在乎你的。也就是說你在網路上裸奔，大家也只能看戲。

請務必尊重與注意隱私問題。