2011-05-19 Facebook Like hijacking with Blogspot

今天 （2011-05-19） 在Facebook上面出現了一種新的惡意分享連結，


由於連結網址是位於Google的Blogspot.com 上面的，很容易讓人失去戒心點擊下去！一旦點了連結後會連到下面這個頁面



基本上看到這畫面只要是之前有關注過FB惡意分享連結的朋友應該都很眼熟，也不會再去點任何的按鈕或選項了。（但是這次當你看到這頁面時已經來不及了！）
此次情況更加惡劣，就算不做任何動作，只要Facebook處於登入狀態，也會自動觸發數個 like 的行為！





大致追了一下過程(沒有很仔細去分析原始碼)

當連到標的網址後可以看到他在該blogspot的blog頁面head的部份就插入了REFRESH 
（好奇發問：這在Blogspot是合法的嗎？怎麼做的？）(經過實際測試，Blogspot真的可以這樣幹！)

接下來跳轉到第二個Blogspot上的blog網址同樣的在head的部份就塞了個外部的Javascript
（好奇再發問：這在Blogspot是也是合法的嗎？怎麼做的？）(經過實際測試，Blogspot也真的可以這樣幹！)

然後在頁面底下塞了7個長寬為0的iframe

http://offeradvertising.biz/gwjs.php?pub=122005&gateid=MTg3NjA2
（這隻JS我懶得去解去追了，留待有興趣的高手們慢慢研究吧）

接著是那7個iframe對 doubledd.info 的 request，內容都是POST到 http://www.facebook.com/ajax/connect/external_node_connect.php?__a=1 的Form

再來一個眼熟的iframe


從經過編碼的Javascript基本上就可以判斷有問題了！

接下來就是對兩個blogspot網址跟五個Facebook粉絲頁觸發Facebook Like的動作。

The Hottest & Funniest Golf Course Video - LOL
Get a Free Meal hurry!
I Love my Mom  專頁url http://www.facebook.com/pages/I-Love-my-Mom/200225093354009
Happy-Club  專頁url http://www.facebook.com/pages/Happy-Club/183772875005110
I Love Music  專頁url http://www.facebook.com/pages/I-Love-Music/146573855415349
I-Love-my-Family  專頁url http://www.facebook.com/pages/I-Love-my-Family/149990811738505
I-Love-Money  專頁url http://www.facebook.com/pages/I-Love-Money/228827590465565

最後就是用Facebook的Like發布塗鴉牆行為進行病毒式散布～
所以可以在極短的時間內取得最大戰果。



就算是Facebook跟WOT合作來對抗惡意連結，也很難在第一時間擋下！
等Facebook或是Blogspot發現處裡時已經來不及了。

這次的情況比較特殊的是利用了Google的Blogspot來作為散布的中轉媒介而且搭配的如此天衣無縫，而且自動觸發按讚的動作，很容易讓人中計！

看來日後的自保之道唯有不要輕易去點Facebook上別人按讚後所貼出的連結才是。

如果很不幸的點過了這個惡意分享連結，那最好盡快到Facebook個人檔案頁面中把這幾條按讚的分享訊息刪掉，以免更多朋友受害。
如下圖：



至於這惡意連結到底是怎麼做的，更進一步細節如何？就有待專業的資安高手來解答了！

2011-05-20 
update 1:
經過實際測試，Blogspot真的可以在head內塞meta http-equiv="REFRESH" 跟加載外部 JavaScript，不需要什麼高深的hack，我還真是lag+孤陋寡聞；看來以後遇到Blogspot的url也不能輕易信任隨便亂點了。
update 2:
目前Facebook已經把相關連結的like分享貼文都移除了，不過根本性的問題還是存在。透過Facebook按讚貼文進行的病毒式散布速度在被相關單位發現處裡之前就可以輕易打下幾十萬的Facebook User~ 這次連讚都自動按下去進行發布了，不知道下一次又會變出什麼樣的把戲。