前言

近期，安全研究专家发现了一种利用社交媒体或其他网站用户屏蔽功能的新方法…

在社交媒体和其他网站上屏蔽用户，是一种保护隐私和提升个人信息安全的常见选择，但是安全研究专家近期发现了一种滥用该功能的新方法，而这种技术将允许攻击者访问用户的隐私信息。

攻击简介

研究人员发现很多当前主流的社交网站都无法抵御这种侧信道侧信道攻击技术，其中包括Facebook、Instagram、Tumblr、Google+、Twitter、eBay、PornHub、Medium、Xbox Live、Ashley Madison、Roblox和Xvideos在内。目前，Twitter和eBay已经修复了该漏洞，而Microsoft Edge、Microsoft IE和Mozilla Firefox也已经针对此类攻击添加了新的防护功能。

研究人员表示：“无论大家设计的安全算法有多复杂，攻击者总会想办法破解或绕过它们。我们所介绍的侧信道攻击技术就是其中一种实践案例。因此，安全提供商还需要设计更加复杂的安全服务来识别和防御此类攻击。”

攻击机制

这种侧信道攻击技术利用的是社交平台的用户屏蔽功能，这种功能会要求特定的Web页面返回特定的Web内容。如果目标用户已经在浏览器中登录了社交媒体平台，那么当用户同时又访问了攻击者的恶意网站，那么攻击者此时就能够对该用户发动攻击了。接下来，攻击者将能够悄悄地与目标用户所登录的社交媒体平台进行通信，并从其账户中窃取个人信息。

研究人员在攻击白皮书中写到：“我们认为，社交媒体网站上的这种属性可以概括为“可视控制”，而这也是该攻击技术实现的基础。攻击者在拿到目标账号之后，可以通过侧信道来实现对数据的灵活控制。在这种机制下，攻击者将能够针对社交网站服务发动大规模的用户攻击。”

这种攻击技术能够窃取目标用户的基本信息，包括姓名、个人活动和发布的消息等等。研究人员表示：“用户屏蔽功能允许用户以可视化的形式控制自己的账号是否可以被他人查看，但是攻击者首先要尝试通过电子邮件或其他方式的网络钓鱼攻击来让用户访问攻击者搭建的恶意网站。”

如果攻击者针对的是Windows用户，那么他们还需要进行一系列跨站请求伪造(CSRF)攻击。这样一来，攻击者就可以绕过网站部署的同源策略，然后获取到目标用户的个人信息。在这一步，攻击者还需要通过JavaScript代码并在一定时间周期内检测目标用户的社交媒体账号的用户屏蔽状态。

解决方案

目前抵御此类攻击的方法就是启用SameSite功能，这种功能可以移除跨站请求的cookie，而且Microsoft和Mozilla都已经在各自的浏览器中采用了SameSite技术。研究人员表示：“这种功能可以有效地抵御CSRF攻击和我们的侧信道攻击。”

除此之外，广大社交媒体用户可以通过启用隐私浏览模式或及时注销(登出)账号的方式来保护自己的安全。

* 参考来源：darkreading，FB小编Alpha_h4ck编译，转载请注明来自FreeBuf.COM