riot the rainbow
2010年9月21日18時頃から広がった、Twitter.comのXSS脆弱性を突いたテストと、悪用されていく様と、正確さに欠けるRTが流れる様の個人アカウントでの定点観測(まとめ).
発端はTogetterに纏められているので、
今日Twitterに『RainbowTwtr』がこんにちは!!した経緯(Togetter) - (1)
『しばらくWebからTwitterのhomeを見てはいけない!』 Twitter XSSテストに巻き込まれた人、先頭から(Togetter) - (2)
を読むと良いでしょう.
- 18:03
- (1)で作られた、@RainbowTwtrの全7ツイートがRTされる.
- RainbowTwtrからXSS脆弱性を認知する人が現れる.
- 以降レインボーが認知され始める.
- 18:21
- はまちちゃんがonmouseoverを使って、マウスカーソルを載せるだけで「こんにちはこんにちは!!」とツイートするコードを書く.
- 以下(2)の状態に.
- 18:35
- 「こんにちはこんにちは」がbuzzる.
- 18:37
- 「こんにちはこんにちは」がbuzztterでHOTになる.
- 18:40
- @ui_nyanのまとめがRTされてくる.
- 18:43
- onmouseoverを使った、Twitter.comからログアウトするコードが現れる.
- 19時前半
- XSS脆弱性に関するツイートがbuzzり始める. 部分部分がHOTになる.
- 19:24
- "Webからtwitterしないほうがいい"という趣旨のツイートが、ReTweeterjpに捕捉されはじめる.
- 19:30
- XSSが@bombtterによって爆発される.
- 20:23
- フォントサイズを超巨大なものにし、マウスオーバーすると(外部スクリプトを利用して)同内容をツイートするコードが現れ、タイムラインに一斉に出現、急激に拡散される.
- 20:27
- "【速報】【!緊急!】【絶対拡散】【できるだけ多くの人に知ってもらいたい】【知らないでは済まされない】【ツイートを見たらすぐRTを】 RainbowTwtrはスパムらしいからブロックして即ログアウトするように"という内容がRTされる. ←(3)
- 20:44
- RTを装う上にWeb画面を暴走させてる風に見せる外部スクリプトを実行するものが現れる.
- ちなみに、Web画面暴走スクリプトについては、http://d.hatena.ne.jp/KAZUMiX/20090421/meltdown3 を参照されるといいでしょう、っていうか、ここのスクリプトを使ってた.
- "感染例"がHOTになる. ←(3)
- 20:45
- ついったんが「こんにちはこんにちは!!」と書き込む.
- 20:49
- "【緊急RT】 ★注意★ RainbowTwtr という虹色のツイートを表示したものにマウスオンしたりフォローされていたりするとウイルス感染状態になりTLが白紙になる、つぶやきが消える、巨大文字が表示されるなどの被害がまさに今起きています。ブロックを!"という内容がRTされる. ←(3)
- 21:12
- innerHTMLを使って、外部スクリプトを利用せずに同じコードをツイートするコードが現れる.
- 21:15
- twitter公式ページが乗っ取られているらしい、というツイートを目にする. ←(3)
- 21:22
- 21:31
- "重要速報"がHOTになる. 内容は、
- 【重要速報】公式モバイル版も同様にXSS脆弱性が発見された模様 ←(3)
- "重要速報"がHOTになる. 内容は、
- 21:33
- "の暗号"がHOTになる. 映画「サマーウォーズ」ネタ.
- 21:39
- TweetDeck(Twitterクライアント)公式の「TweetDeckは問題ないっす」的なツイートがRTされる.
- 21時の時点で海外でも広がっていたらしい.
- 21:45
- 21:59
- "tbubbaloo"とツイートするだけのコードに引っかかる人が現れ始める.
- 22:15
- 問題の分かりやすいまとめ(http://m5s.jp/tw/xssvul/)が広がり始める.
- 22:20
- "緊急RT"がHOTになる. 内容は前述.
- 22:48
- CNN Breaking News(のアカウント)が今回の問題を報じる.
- 22:51
- 対策完了のお知らせ.
- 22:52
- @safetyも対策完了のお知らせ.
- 23:12
- @twjが翻訳記事を投稿.
- 23:26
- "公式RT推奨"がbuzzる. 犯人は@Matstaだ的な. (現在@MatstaはHold up状態です)
- 1:10
- @twitterによるfix公式発表.
- 2:24
- @twitterによる「マウスオーバー問題の全容」ブログ更新.
- 4:12
- @twjが上記の翻訳記事を投下する. http://blog.twitter.jp/2010/09/blog-post_22.html
さて、twitterのブログだが、
まず、誰かがアカウントを作成し、この問題を悪用しました。具体的には、そのツイートのリンクにユーザーがマウスオーバーすると、ツイートが異なる色に変化し、テキストを表示したポップアップ画面が表示される仕組みでした。
http://blog.twitter.jp/2010/09/blog-post_22.html
なんだこれ. RainbowTwtrにマウスオーバーの仕掛けは無いし、ポップアップもしない.
http://twitter.com/RainbowTwtr#@"style="background-color:red;color:red;position:absolute;top:0;left:0;width:100%;height:100%"
Twitterの中の人たちは、どこを発端と考えたのだろうか.
しかし、上記(3)に代表される、認識不足なわりに緊急性をもったツイートがリツイートされていく様は結構怖いものがある.
RainbowTwtrはスパムでもなければウィルスをばらまいたわけでもない.
もしRTされていく内容が、「<短縮URL→リンク先はTwitterに見せかけた偽サイト>でパスワードの変更を」だったらどうでしょう. 一気にソーシャルハックできるじゃないか.
誤った情報も多い. Tweenやモバイル版Twitterが危険など確認もせずに危険因子扱いされていく様はおそろしい. 火を付けるのは簡単だが、火消しは大変なのよ.
RTするツイートの内容は、3回は読み直した方がいい.