(ry

riot the rainbow

ネット

2010年9月21日18時頃から広がった、Twitter.comのXSS脆弱性を突いたテストと、悪用されていく様と、正確さに欠けるRTが流れる様の個人アカウントでの定点観測（まとめ）.

発端はTogetterに纏められているので、

今日Twitterに『RainbowTwtr』がこんにちは！！した経緯(Togetter) - (1)

『しばらくWebからTwitterのhomeを見てはいけない！』　Twitter XSSテストに巻き込まれた人、先頭から(Togetter) - (2)

を読むと良いでしょう.

  • 18:03
    • (1)で作られた、@RainbowTwtrの全7ツイートがRTされる.
    • RainbowTwtrからXSS脆弱性を認知する人が現れる.
    • 以降レインボーが認知され始める.
  • 18:21
    • はまちちゃんがonmouseoverを使って、マウスカーソルを載せるだけで「こんにちはこんにちは！！」とツイートするコードを書く.
    • 以下(2)の状態に.
  • 18:35
    • 「こんにちはこんにちは」がbuzzる.
  • 18:37
    • 「こんにちはこんにちは」がbuzztterでHOTになる.
  • 18:40
    • @ui_nyanのまとめがRTされてくる.
  • 18:43
    • onmouseoverを使った、Twitter.comからログアウトするコードが現れる.
  • 19時前半
    • XSS脆弱性に関するツイートがbuzzり始める. 部分部分がHOTになる.
  • 19:24
    • "Webからtwitterしないほうがいい"という趣旨のツイートが、ReTweeterjpに捕捉されはじめる.
  • 19:30
    • XSSが@bombtterによって爆発される.
  • 20:08
    • XSS脆弱性を突くコードへの注意喚起のRTが表示され始める.
    • といっても、改竄だーとか、Javaが、など、ちょっとズレた内容もちらほら.
  • 20:23
    • フォントサイズを超巨大なものにし、マウスオーバーすると（外部スクリプトを利用して）同内容をツイートするコードが現れ、タイムラインに一斉に出現、急激に拡散される.
  • 20:27
    • "【速報】【！緊急！】【絶対拡散】【できるだけ多くの人に知ってもらいたい】【知らないでは済まされない】【ツイートを見たらすぐRTを】　RainbowTwtrはスパムらしいからブロックして即ログアウトするように"という内容がRTされる. ←（３）
  • 20:45
    • ついったんが「こんにちはこんにちは！！」と書き込む.
  • 20:49
    • "【緊急RT】 ★注意★　RainbowTwtr　という虹色のツイートを表示したものにマウスオンしたりフォローされていたりするとウイルス感染状態になりTLが白紙になる、つぶやきが消える、巨大文字が表示されるなどの被害がまさに今起きています。ブロックを！"という内容がRTされる. ←（３）
  • 21:12
    • innerHTMLを使って、外部スクリプトを利用せずに同じコードをツイートするコードが現れる.
  • 21:15
    • twitter公式ページが乗っ取られているらしい、というツイートを目にする. ←（３）
  • 21:22
    • "変な外人"がHOTになる. ←（３）
    • 内容は2通りほどある.
      • 変な外人がTwitter.comの脆弱性を突いて変なスクリプトorプログラムを悪意を持って仕掛ける→それが発動→本家Twitterでやってる人やログインしっぱなしの人が多数被害を受ける→個人情報がもってかれるので注意が喚起されている
      • 今回の騒動を引き起こした変な外人「TwitterのXSS脆弱性を利用して騒ぎを起こし、みんなを困らせたかった。予定通り騒ぎは起きたけど、ジャパンという東洋の島国では困るどころかむしろこの騒ぎを楽しんでいた。なんでこんなことになったんだ
  • 21:31
    • "重要速報"がHOTになる. 内容は、
      • 【重要速報】公式モバイル版も同様にＸＳＳ脆弱性が発見された模様 ←（３）
  • 21:39
    • TweetDeck（Twitterクライアント）公式の「TweetDeckは問題ないっす」的なツイートがRTされる.
    • 21時の時点で海外でも広がっていたらしい.
  • 21:45
    • "【拡散希望】危険⇒PC公式twitter、twitter.web、Tween、twitter.com　　安全⇒ついっぷる、モバツイ、ゆびったー、などの非公式だそうです。　変なリンクを押さない限り安全らしいです。"という内容がRTされる. ←（３）
    • Tweenが危険という内容は20時台からあったようだ.
  • 21:52
    • @jp_twiのツイートと同内容のものが@jp_softbankからツイートされて、RTされる.
    • いや、中の人が同じで、非公式なの分かるけど、どうしてsoftbankなのかね.
  • 21:59
    • "tbubbaloo"とツイートするだけのコードに引っかかる人が現れ始める.
  • 22:20
    • "緊急RT"がHOTになる. 内容は前述.
  • 22:48
    • CNN Breaking News(のアカウント)が今回の問題を報じる.
  • 22:51
    • 対策完了のお知らせ.
  • 22:52
    • @safetyも対策完了のお知らせ.
  • 23:12
    • @twjが翻訳記事を投稿.
  • 23:26
    • "公式RT推奨"がbuzzる. 犯人は@Matstaだ的な. (現在@MatstaはHold up状態です)
  • 1:10
    • @twitterによるfix公式発表.
  • 2:24
    • @twitterによる「マウスオーバー問題の全容」ブログ更新.

さて、twitterのブログだが、

まず、誰かがアカウントを作成し、この問題を悪用しました。具体的には、そのツイートのリンクにユーザーがマウスオーバーすると、ツイートが異なる色に変化し、テキストを表示したポップアップ画面が表示される仕組みでした。

http://blog.twitter.jp/2010/09/blog-post_22.html

なんだこれ. RainbowTwtrにマウスオーバーの仕掛けは無いし、ポップアップもしない.

http://twitter.com/RainbowTwtr#@"style="background-color:red;color:red;position:absolute;top:0;left:0;width:100%;height:100%"

Twitterの中の人たちは、どこを発端と考えたのだろうか.

しかし、上記(3)に代表される、認識不足なわりに緊急性をもったツイートがリツイートされていく様は結構怖いものがある.

RainbowTwtrはスパムでもなければウィルスをばらまいたわけでもない.

もしRTされていく内容が、「<短縮URL→リンク先はTwitterに見せかけた偽サイト>でパスワードの変更を」だったらどうでしょう. 一気にソーシャルハックできるじゃないか.

誤った情報も多い. Tweenやモバイル版Twitterが危険など確認もせずに危険因子扱いされていく様はおそろしい. 火を付けるのは簡単だが、火消しは大変なのよ.

RTするツイートの内容は、3回は読み直した方がいい.