第三方网站可窃取无防备用户的个人数据？Facebook 刚刚堵上漏洞

今年 5 月的时候，安全公司 Imperva 曝光了 Facebook 的一个 bug，其导致第三方网站可以读取毫无戒心的 Facebook 用户（及其好友）的私人信息。万幸的是，该漏洞现已被成功修复。此前，安全研究员 Ron Masas 发现了 Facebook 的跨站请求伪造（CSRF）漏洞，意味着另一个网站可以通过代码查询的方式，接触到 Facebook 的用户数据。

视频截图

为了利用该漏洞，站点可以嵌入 iFrame（站点内的站点）来“吸取”用户的数据：

当已登录的 Facebook 用户访问带有恶意代码的，并在任意位置点击时触发脚本。

其通过向该社交网络发送查询来收集用户数据，例如‘用户是否喜欢跑步？’、或‘是否有朋友在加拿大？’

据悉，Masas 是在研究 Chrome 漏洞时发现的 Facebook bug，攻击者可借此窃取 Facebook 用户的私人信息。

可怕的是，即便设置了仅对自己可见，其好友的数据仍可能被这只黑爪给触及。比如通过更加复杂的查询，就可以找到有关某人的宗教信仰、或生活在特定区域的朋友圈等信息。

Facebook Proof of Concept（via）

对于此事，Facebook 发言人在致外媒 TechCrunch 的回复中写到：

感谢这位安全研究人员对我司 bug 赏金计划的支持，报告中的行为并非特定于 Facebook，但我们的用户数据没有丢失。

我们已经向浏览器制造商和相关 Web 标准组提出了建议，鼓励它们采取措施防止此类问题在其它 Web 应用上发生。

据悉，Facebook 向 Masas 发放了两份单独的赏金，总额为 8000 美元。