হ্যাঁ, ঠিক জাভাস্ক্রিপ্ট। আমি সবেমাত্র এ জাতীয় একটি কৃমির সাথে দেখা করে এটিকে ডিকোড করার চেষ্টা করেছি।
আসল সমস্যাটি কী:
সাম্প্রতিক ফেসবুক কৃমি ব্যবহারকারীদের একটি পৃষ্ঠা দেখার জন্য পেয়ে কাজ করে, যা তাদের অ্যাড্রেস বারে একটি জাভাস্ক্রিপ্ট স্ট্রিং সন্নিবেশ করায় এবং তাই এটি কার্যকর করে।
সুতরাং, আপনার অ্যাড্রেস বারে কিছু জাভাস্ক্রিপ্ট কোড অনুলিপি করবেন না । এটাই মূল সমস্যা। এবং আপনার বিশ্বাস না এমন কোনও লিঙ্ক ক্লিক করবেন না। বা অন্ততপক্ষে গোপনীয়তা মোড (ফায়ারফক্স) বা ছদ্মবেশী মোড (ক্রোম) ব্যবহার করে কোনও নতুন উইন্ডোতে এই লিঙ্কগুলি খুলুন যাতে এটি আপনার ফেসবুক সেশনে অ্যাক্সেস করতে সক্ষম না হয়।
লোকেরা কী করছে তা উপলব্ধি না করার জন্য আমাদের হ্যাকাররা কী করেছিল?
স্ক্রিপ্টটি ছেড়ে দেওয়া হচ্ছে
আপনি ইউআরএল বারে অনুলিপি করেছেন এমন স্ট্রিং বেশিরভাগ অন্য জাভাস্ক্রিপ্টের সাথে লিঙ্ক করে যা কার্যকর হয়। এই স্ক্রিপ্টটি আসলে সত্ত্বাগুলিতে ডিকোড করা হয়। সুতরাং স্ট্রিং অক্ষর ব্যবহার না করে পুরো স্ক্রিপ্টটিকে একটি স্ট্রিংয়ে রেখে পালিয়ে দেওয়া হয়েছিল যাতে কোনও মানুষ প্রথম স্থানে এটি পড়তে না পারে।
উদাহরণস্বরূপ, যদি আমার খুব দূষিত ফাংশন থাকে তবে আমি এটি থেকে বাঁচতে পারি এবং ব্যবহারকারী কেবল দেখতে পাবেন:
ফাংশন% 20test% 28% 29% 20% 7B% 20alert% 20% 28% 22LOL% 22% 29% 3B% 20% 7D
এবং unescaped হবে
ফাংশন পরীক্ষা () {সতর্কতা ("LOL"); }
সুতরাং স্ক্রিপ্টটি কার্যকর হওয়ার আগে "নিজেই" অনস্ক্র্যাপ হয়।
এটি নিরস্ত করা
এখন এটি কুৎসিত হয়ে উঠছে: এড়িয়ে যাওয়ার আগে, দুষ্ট জাভাস্ক্রিপ্ট কোডটি ফাংশন এর মত _____xএবং ভেরিয়েবলের মতো নাম দ্বারা অবহেলা করা হয় aLDIWEJ। এটি জাভাস্ক্রিপ্টের জন্য এখনও উপলব্ধি করে তবে এটি সম্পূর্ণরূপে মানুষের কাছে অপঠনযোগ্য। আমাদের ফেসবুক হ্যাকারদের উদ্দেশ্যকে মাস্ক করার জন্য এটি আবার করা হয়েছে।
এই মুহুর্তে, কোডটি এরকম কিছু দেখতে পেত:
স্ক্রিপ্ট কী করে
ভাল, এই স্ক্রিপ্টটি যা করে তা হ'ল আপনার বর্তমান ফেসবুক সেশনটি। আপনি সাইটে লগইন করেছেন বলে এটি আপনার নামে কিছু করতে পারে anything উদাহরণস্বরূপ, ফেসবুকের এপিআইয়ের মাধ্যমে এটি যে কাজগুলি করতে পারে তা হ'ল:
- "ওএমজি আমি দেখতে পাচ্ছি যে আমাকে কারা লাঞ্ছিত করেছে!" এর মতো ইভেন্ট তৈরি করছে!
- মানুষের সাথে চ্যাট
- স্থিতি আপডেট পোস্ট
- প্রভৃতি
এই সমস্ত কিছু ফেসবুকের এপিআই পৃষ্ঠাগুলির (কিছু পিএইচপি পৃষ্ঠাগুলি, আমি ভুলে গিয়েছিলাম) কল করেই ঘটে।