X/Twitter安全系统似乎存在漏洞 可以冒充任意知名网站发帖 – 蓝点网
发布时间：2025-05-05 13:05:07 作者：玩站小弟 
我要评论
我要评论在 X/Twitter 上，如果网站已经按照开发者规范要求在网页源代码里添加了标头等数据，则这个网站的任何地址发布到 X 上时，都会额外显示网站域名以及图片等数据。要实现此功能 X 的爬虫需要在用户发
。
在 X/Twitter 上，安全如果网站已经按照开发者规范要求在网页源代码里添加了标头等数据，系统则这个网站的似乎任何地址发布到 X 上时，都会额外显示网站域名以及图片等数据。存漏
要实现此功能 X 的冒充爬虫需要在用户发布内容时第一时间对目标链接进行抓取，如果抓取无法那就可以显示完整信息，任意并且后续变更后已经被抓取的知名数据也不会变更。
于是网站网这就产生了一个安全问题：有诈骗者在 X 上冒充知名新闻网站福布斯发布加密货币相关的内容，吸引币圈用户加入他们的发帖社群，然后操作一些垃圾币来收割。蓝点
从下图中我们可以看到这种恶意利用的安全流程：
诈骗者在服务器上进行了 HTTP 302 临时重定向，当检测到不同的系统 UserAgent 时，可以返回不同的似乎临时重定向地址。
其中第一个测试截图是存漏不使用任何浏览器 UA 的情况下，模拟 X 爬虫系统进行抓取 (实际上 X 有爬虫，冒充叫做 TwitterBot，但没有其他 UA 信息，见结尾附注 1)，此时诈骗网站没有检测到有效的浏览器 UA，于是返回了福布斯网站的一个链接。
于是 X 会在推文发布后将其标注为来自福布斯网站。
第二个测试截图在附带浏览器 UA 的情况下，可以看到这个诈骗网站返回了他们的目标地址，那就是那个社群。
而用户正常点击链接那肯定是附带浏览器 UA 信息的，所以实际上点击都是返回社群地址，第一种情况仅仅只是用来迷惑 X 的爬虫。
值得注意的是，这种情况并不是现在才发生的，至少从去年 8 月开始已经有诈骗者使用这种方法进行钓鱼，不过至今 X 也没有解决这类问题。
附注 1：
X/Twitter 爬虫的完整信息：TwitterBot/1.0
相关文章
经典塔防游戏《王国保卫战5：联盟》登陆Steam、iOS及Android平台
经典塔防游戏《王国保卫战5：联盟》登陆Steam、iOS及Android平台2024-07-30 09:34:32编辑：柒柒2025-05-05
天涯明月刀奶香副本解析 天刀奶香70挑战副本技巧。本次天刀更新后，70挑战本在强度上大大提升，卡住了无数队伍，也同样考验了无数奶妈的手法和操作技巧，下面99单机网小编就介绍一下奶香70挑战副本技巧。首2025-05-05
《我的世界》盘灵古域这款地图最近很火，不过有玩家表示不知道该怎么做游戏里的青龙主线，不过别着急，下面99单机小编就为你带来高玩分享的技巧心得攻略，希望能帮到大家。 从人族说起了。从出生地2025-05-05
《仙剑奇侠传6》多核CPU配置怎么优化提升画面帧数？相信这是很多玩家所关心的问题，下面99单机小编就为你带来高玩分享的技巧心得攻略，希望能帮到大家。有少部分型号的8核cpu在运行游戏时，出现帧2025-05-05
最近万代公布了勇者斗恶龙VR发售的消息，这款游戏将在4月底上线，很多玩家也是非常期待，游戏向玩家展示了什么样的玩法特色了，一起来看看下面视频介绍吧。今天，万代南梦宫正式公布了Square Enix的《2025-05-05
我的世界手机版怎么去地狱?在我的世界手机版中地狱有很多其他的怪和玩家，玩家都想去我的世界手机版中的地狱，那么怎么样才能去呢?这里99单机网小编就来介绍在我的世界手机版中如何才能去地狱。在游戏建造下界反2025-05-05
最新评论