Facebook垃圾信息难防 恶意散播者技高一筹

社交龙头Facebook 推出新安全功能，为用户阻挡病毒广告信息才几日时间，网络上几桩新的社交引擎攻击，便穿透了垃圾信息的防护网。

发言人Fred Wolens 对《CNET》表示，垃圾信息发送者已对应修改了设定，可穿越Facebook 的病毒侦测防範系统。

他声称：我们在上周四才推出新保护方案，他们马上就做出新突破。这是一场较劲之战，我们发布的新安全功能，足以应付所有以往的自行跨网站指令码 (XSS) 攻击纪录。

Facebook 上周检测到，用户即将遭到XSS 和点阅绑架(clickjacking) 等攻击，因此推出新功能警告用户。在遭受点阅绑架攻击时，用户会被引导着点击如恶意广告等连结;另外恶意使用者将程序代码灌入网页，令其他用户浏览时受到影响，是为所谓XSS 攻击。

在上周末有几项XSS 攻击没被Facebook 抓到，未经警告的用户因而中招。例如其中一种是发公告宣布：“Facebook 现在推出按钮了!只要点下“启动”就可使用新功能!”

顺带一提，Wolens 被问及时，巧妙回避了为何Facebook 只有重“赞”而没有“烂”按钮的问题。

另一种攻击方式，是提供累计个人Facebook 页面浏览纪录的服务，可作为自己的名气指数参考，条件是得点击“Scan Profile”连结启用。这个连结通往另一个外部网站，诱骗用户在浏览器网址处，复製贴上 Java 程序原始码。

诸如此类用户操作结果，将导致垃圾信息被重新发布至自己的Facebook 页面上，当然亲友们无一倖免，最后恶意连结会引导受害者们作一些问券调查。恶意攻击者可由每份调查资料中，获得一定抽成，而垃圾信息传播越广获益越丰。

Facebook 并未明确透露详细情况，分析师猜测，恶意信息可能通过 Javascript 隐身，骗过公司的安全防卫系统。