另一个Facebook漏洞可能暴露了你的私人信息

据报道，Facebook上还存在另一个安全漏洞，攻击者可以通过该漏洞获取用户及其朋友的某些个人信息，这可能会危及世界上最受欢迎的社交网络用户的隐私。

Imperva的网络安全研究人员发现，该漏洞存在于Facebook搜索功能显示输入查询结果的方式中。

据Imperva研究人员Ron Masas称，显示搜索结果的页面包括与每个结果相关的iFrame元素，这些iFrame的端点URL没有任何保护机制来防止跨站点请求伪造（CSRF）攻击。

需要注意的是，新报告的漏洞已经被修补，与之前在Facebook上披露的暴露3000万用户个人信息的漏洞不同，它不允许攻击者立即从海量账户中提取信息。

Facebook搜索漏洞是如何工作的？

要利用此漏洞，攻击者只需诱使用户访问其web浏览器上的恶意网站，并在该网站上登录其Facebook帐户即可。

该恶意网站包含一个javascript代码，一旦受害者点击该页面上的任何地方，该代码就会在后台执行。

Masas在今天发布的一篇博文中解释说：“为了让这种攻击发挥作用，我们需要欺骗Facebook用户打开我们的恶意网站，并点击网站上的任何地方（这可以是我们可以运行JavaScript的任何网站），允许我们打开Facebook搜索页面的弹出窗口或新标签，迫使用户执行我们想要的任何搜索查询”。

正如Masas在下面的视频中所演示的那样，JavaScript代码会打开一个带有Facebook URL的新选项卡或窗口，该URL运行某些预定义的搜索查询，并测量结果以提取目标信息。
在Facebook上搜索某些东西似乎不太赚钱，尤其是当攻击代码返回的结果只有“是”或“否”时。

“这次攻击实际上泄露了当前登录的Facebook账户上任何搜索查询的搜索结果数量。最基本的用法是进行布尔查询，比如‘来自冰岛的我的照片’，”马斯告诉《黑客新闻》。

• 如果你有一个朋友，他的名字中有一个特定的名字或关键字
• 如果你喜欢某个页面或是某个特定组的成员
• 如果你有朋友喜欢某个页面
• 如果你在某个地方或国家拍照
• 如果你曾经发布过在某些地方/国家拍摄的照片
• 如果你曾经在时间线上发布过包含特定文本/关键字的更新
• 如果你有伊斯兰朋友

等等，您可以提出的任何自定义查询。

“这个过程可以重复，而不需要打开新的弹出窗口或选项卡，因为攻击者可以控制Facebook窗口的位置属性，”Masas补充道。“这对移动用户尤其危险，因为打开选项卡很容易在后台丢失，允许攻击者在用户观看视频或阅读攻击者网站上的文章时提取多个查询的结果。”

简言之，该漏洞暴露了目标用户及其朋友的兴趣和活动，即使他们的隐私设置仅对他们或他们的朋友可见。

2018年5月，Imperva通过公司的漏洞披露计划向Facebook报告了该漏洞，几天后，这家社交网络巨头通过添加CSRF保护解决了该问题。

大约三个月前，Masas还报告了一个令人印象深刻的网络浏览器漏洞，它暴露了Facebook和谷歌等其他网络平台对你的所有了解。他还发布了该漏洞的概念验证漏洞。