logo
Redian新闻
>未名空间
>Animals - 动物园
>
近期被改昵称，转WB的同学请进 (转载)
avatar
近期被改昵称，转WB的同学请进 (转载)# Animals - 动物园
n*2
1 楼
【 以下文字转载自 sysop 讨论区 】
发信人: Holyclayman (俺有罪，俺悔过), 信区: sysop
标 题: 近期被改昵称，转WB的同学请进
发信站: BBS 未名空间站 (Wed Dec 5 21:07:20 2012, 美东)
上月底我发现MIT的个人信息页存在XSS漏洞的时候，写了个脚本劫持登录session来偷
偷修改用户的心情。几天后在第二版（昨天发布）里加了个转帐1WB到HEROGG俱乐部的
功能，现在已经下线，但由于host攻击脚本的google服务器还会cache一天左右时间，
因此余波还会持续一阵。
添加转账功能纯属娱乐，不是想偷大家的WB，更与HEROGG俱乐部及其成员无关。由于没
有预想到在上线后十几个小时内有几千人次转账发生，给各位网友（特别是众多ebiz版
和sex版的ID们）造成很多不便，非常抱歉！请被盗ID截屏回复本帖，我会用个人WB作出
赔付，谢谢！
担心WB持续被盗的同学：
请在一天内不要点击其他用户的个人简介，一天后脚本在google服务器的cache时间结
束后，应该就恢复正常了。（您的帐号密码是安全的，目前情况下我没有办法获取您的
这些信息，也没有劫持cookie，虽然后者是XSS可以做到的。）
避免自己的个人信息页影响其他人：
请修改个人联系方式：http://www.mitbbs.com/mitbbs_user_info3.php，清空MSN帐号里的信息即可。
再一次向受到影响的同学们表示歉意！
（遵循白帽原则，攻击细节在修复前暂不公开，如有必要，请技术站务联系我获取漏洞
详情和修复建议。）
avatar
c*t
2 楼
这是找站方要赎金吗？
avatar
y*u
3 楼
我还是觉得这人很烂。。。
avatar
c*t
4 楼
确实很烂，尤其这个出面解释，比不解释消声蹑迹更烂。

【在 y**u 的大作中提到】
: 我还是觉得这人很烂。。。
avatar
c*t
5 楼
“特别是众多ebiz版和sex版的ID们”这句话很耐人寻味
avatar
y*u
6 楼
他常混这两个地方？。。。。

【在 c*******t 的大作中提到】
: “特别是众多ebiz版和sex版的ID们”这句话很耐人寻味
avatar
c*t
7 楼
不知道，从他的帖子的内容看，是这两个版的ID喜欢点击他人ID看信息。

【在 y**u 的大作中提到】
: 他常混这两个地方？。。。。
avatar
n*2
8 楼
这个很正常，ebiz的是真金实银交易的，一般都是查查对方的id，看是不是老id，可不
可信。
sex版的话，估计大家想看看发帖人以前发过啥贴，是不是马甲？是谁的马甲？

【在 c*******t 的大作中提到】
: 不知道，从他的帖子的内容看，是这两个版的ID喜欢点击他人ID看信息。
avatar
n*2
9 楼
算了吧，早中招，比晚中招好，起码这人还没干更出格的事。
当然我也认为这种行为很不好。
要是真怀有恶意的，ebiz，二手版等真金实银交易的id，受损更大

【在 y**u 的大作中提到】
: 我还是觉得这人很烂。。。
avatar
y*u
10 楼
这样啊

【在 n*2 的大作中提到】
: 这个很正常，ebiz的是真金实银交易的，一般都是查查对方的id，看是不是老id，可不
: 可信。
: sex版的话，估计大家想看看发帖人以前发过啥贴，是不是马甲？是谁的马甲？
avatar
y*u
11 楼
我今天一直登录不上，浪费了好多时间。。这个烂猪头！

【在 n*2 的大作中提到】
: 算了吧，早中招，比晚中招好，起码这人还没干更出格的事。
: 当然我也认为这种行为很不好。
: 要是真怀有恶意的，ebiz，二手版等真金实银交易的id，受损更大
avatar
I*i
12 楼
原来是这样
avatar
c*t
13 楼
这个解释靠谱，sex版估计还要猜性别。

【在 n*2 的大作中提到】
: 这个很正常，ebiz的是真金实银交易的，一般都是查查对方的id，看是不是老id，可不
: 可信。
: sex版的话，估计大家想看看发帖人以前发过啥贴，是不是马甲？是谁的马甲？
avatar
y*u
14 楼
哈哈，真是各有各的难处啊

【在 c*******t 的大作中提到】
: 这个解释靠谱，sex版估计还要猜性别。
avatar
a*a
15 楼
我有罪，我坦白。我今天点了不少版上中过招的ID和我自己的ID（我点的最多的是鱼族
，哈哈），想看看你们的昵称和我的一样不，我手好欠，所以掉了1.7个包子，不去要
了。点别人ID只会自己掉wb吧，比如我点鱼族，只是我少了1wb，鱼族不会受影响吧？
可我不是ebiz和sex版的ID。
avatar
a*a
16 楼
我觉得是这个始作俑者是这个人。你看他的ID是Holyclayman，然后他改别人心情用的
是“h01y.HERO.rules!”，据李冰分析，就是“Holy hero rules”的意思，我觉得有
道理。

作出

【在 n*2 的大作中提到】
: 算了吧，早中招，比晚中招好，起码这人还没干更出格的事。
: 当然我也认为这种行为很不好。
: 要是真怀有恶意的，ebiz，二手版等真金实银交易的id，受损更大
avatar
n*2
17 楼
发信人: zhanglaosan (张老三), 信区: LosAngeles
标 题: Re: ！！！所有昵称被改的ID请注意！！！ (转载)
发信站: BBS 未名空间站 (Wed Dec 5 18:16:17 2012, 美东)
我觉得他没有hack密码
就是找到了某些api的漏洞，比如找到一些post,不需要是你本人也能post参数修改个人
信息之类的
很可能就是老刑的code太屎了

【在 a***a 的大作中提到】
: 我觉得是这个始作俑者是这个人。你看他的ID是Holyclayman，然后他改别人心情用的
: 是“h01y.HERO.rules!”，据李冰分析，就是“Holy hero rules”的意思，我觉得有
: 道理。
:
: 作出
avatar
y*u
18 楼
。。。。难怪我钱少的那么快。。不过无所谓啦，本来就打算攒到500就捐掉的，这回
在口袋里多捂了几天，干脆连整带零都捐了。
老是讲，做穷光蛋的感觉其实挺好的，从头开始啊！

【在 a***a 的大作中提到】
: 我有罪，我坦白。我今天点了不少版上中过招的ID和我自己的ID（我点的最多的是鱼族
: ，哈哈），想看看你们的昵称和我的一样不，我手好欠，所以掉了1.7个包子，不去要
: 了。点别人ID只会自己掉wb吧，比如我点鱼族，只是我少了1wb，鱼族不会受影响吧？
: 可我不是ebiz和sex版的ID。
avatar
a*a
19 楼
啊？！好比我点你，到底是你掉1伪币还是我掉1伪币啊？

【在 y**u 的大作中提到】
: 。。。。难怪我钱少的那么快。。不过无所谓啦，本来就打算攒到500就捐掉的，这回
: 在口袋里多捂了几天，干脆连整带零都捐了。
: 老是讲，做穷光蛋的感觉其实挺好的，从头开始啊！
avatar
a*a
20 楼
“做穷光蛋的感觉其实挺好的，从头开始啊！”我也有同感，哈哈

【在 y**u 的大作中提到】
: 。。。。难怪我钱少的那么快。。不过无所谓啦，本来就打算攒到500就捐掉的，这回
: 在口袋里多捂了几天，干脆连整带零都捐了。
: 老是讲，做穷光蛋的感觉其实挺好的，从头开始啊！
avatar
H*g
21 楼
lol 都说的这么清楚了，还说没有公开攻击细节。。
-------
（遵循白帽原则，攻击细节在修复前暂不公开，如有必要，请技术站务联系我获取漏洞
详情和修复建议。）
avatar
y*u
22 楼
这个不知道。。。那时候我已经捐掉了，懒得仔细看了。我好像没点很多人，相互的？

【在 a***a 的大作中提到】
: 啊？！好比我点你，到底是你掉1伪币还是我掉1伪币啊？
avatar
H*g
23 楼
你点别人是你掉伪币，然后你的信息被修改，别人点你的时候，别人掉伪币，然后别人
的信息也被修改，就这么传染的。

【在 a***a 的大作中提到】
: 啊？！好比我点你，到底是你掉1伪币还是我掉1伪币啊？
avatar
a*a
24 楼
原来如此。

【在 H********g 的大作中提到】
: 你点别人是你掉伪币，然后你的信息被修改，别人点你的时候，别人掉伪币，然后别人
: 的信息也被修改，就这么传染的。
avatar
i*s
25 楼
原来如此。

作出

【在 n*2 的大作中提到】
: 发信人: zhanglaosan (张老三), 信区: LosAngeles
: 标 题: Re: ！！！所有昵称被改的ID请注意！！！ (转载)
: 发信站: BBS 未名空间站 (Wed Dec 5 18:16:17 2012, 美东)
: 我觉得他没有hack密码
: 就是找到了某些api的漏洞，比如找到一些post,不需要是你本人也能post参数修改个人
: 信息之类的
: 很可能就是老刑的code太屎了
avatar
i*s
26 楼
确实

【在 y**u 的大作中提到】
: 我还是觉得这人很烂。。。
avatar
n*2
27 楼
版大被扣了吗

【在 i*****s 的大作中提到】
: 原来如此。
:
: 作出
avatar
a*a
28 楼
版大的应该没有我猜。
我知道李冰的ID坚如磐石，没有受到攻击的说。

【在 n*2 的大作中提到】
: 版大被扣了吗
avatar
H*g
29 楼
要是担心账号安全的话，可以专门用一个浏览器上mitbbs，
把这个浏览器的javascript禁用掉。
这个人今天这么一说，这个漏洞可以被很多人利用了，我刚才就试了一次。
因为已经讲的很清楚了。
avatar
i*s
30 楼
你这个解释很靠谱，这个人应该是个神医，估计是用这个漏洞偷看过别人的交易，叹！

【在 a***a 的大作中提到】
: 我觉得是这个始作俑者是这个人。你看他的ID是Holyclayman，然后他改别人心情用的
: 是“h01y.HERO.rules!”，据李冰分析，就是“Holy hero rules”的意思，我觉得有
: 道理。
:
: 作出
avatar
i*s
31 楼
呵呵，好人

【在 y**u 的大作中提到】
: 。。。。难怪我钱少的那么快。。不过无所谓啦，本来就打算攒到500就捐掉的，这回
: 在口袋里多捂了几天，干脆连整带零都捐了。
: 老是讲，做穷光蛋的感觉其实挺好的，从头开始啊！
avatar
n*2
32 楼
是啊。。。

【在 H********g 的大作中提到】
: 要是担心账号安全的话，可以专门用一个浏览器上mitbbs，
: 把这个浏览器的javascript禁用掉。
: 这个人今天这么一说，这个漏洞可以被很多人利用了，我刚才就试了一次。
: 因为已经讲的很清楚了。
avatar
i*s
33 楼
我没再出事，原来是没点别人的ID

【在 H********g 的大作中提到】
: 你点别人是你掉伪币，然后你的信息被修改，别人点你的时候，别人掉伪币，然后别人
: 的信息也被修改，就这么传染的。
avatar
i*s
34 楼
没有，呵呵

【在 n*2 的大作中提到】
: 版大被扣了吗
avatar
i*s
35 楼
我出了一次，改了之后就没再出现。

【在 a***a 的大作中提到】
: 版大的应该没有我猜。
: 我知道李冰的ID坚如磐石，没有受到攻击的说。
avatar
i*s
36 楼
唉，这个还得学习才知道，不是码工没有信息权啊。

【在 H********g 的大作中提到】
: 要是担心账号安全的话，可以专门用一个浏览器上mitbbs，
: 把这个浏览器的javascript禁用掉。
: 这个人今天这么一说，这个漏洞可以被很多人利用了，我刚才就试了一次。
: 因为已经讲的很清楚了。
avatar
a*a
37 楼
你这个特例太奇幻了。
就我自己而言，今天之前（还没有这个昵称/性别被改，伪币被偷事件），我改过我的
心情设置，也不记得点过别人的ID，可能点过自己的ID，可没过多久就又变回去了。

【在 i*****s 的大作中提到】
: 我出了一次，改了之后就没再出现。
avatar
I*i
38 楼
会者不难。。。我是难者不会

【在 H********g 的大作中提到】
: 要是担心账号安全的话，可以专门用一个浏览器上mitbbs，
: 把这个浏览器的javascript禁用掉。
: 这个人今天这么一说，这个漏洞可以被很多人利用了，我刚才就试了一次。
: 因为已经讲的很清楚了。
avatar
i*s
39 楼
我看帖回帖专心致志，不点别人的ID, 不干不相干的事，怎么说来的，态度决定一切

【在 a***a 的大作中提到】
: 你这个特例太奇幻了。
: 就我自己而言，今天之前（还没有这个昵称/性别被改，伪币被偷事件），我改过我的
: 心情设置，也不记得点过别人的ID，可能点过自己的ID，可没过多久就又变回去了。
avatar
a*a
40 楼
你今天如此伶牙俐齿，晚上吃啥好吃的啦？

【在 i*****s 的大作中提到】
: 我看帖回帖专心致志，不点别人的ID, 不干不相干的事，怎么说来的，态度决定一切
avatar
i*s
41 楼
嗯，我也不会

【在 I***i 的大作中提到】
: 会者不难。。。我是难者不会
avatar
h*h
42 楼
只说了拿伪币，没说更改别人信息？这个“h01y.HERO.rules！“好像看到有段时间了。
有时会点别人，主要想看文章，或blog上，也是文章，我自己论坛发文，回贴，blog上
一点以前帖子（没2篇）公开，欢迎有兴趣翻。没想这么会中招。
avatar
m*n
43 楼
我玩了一天游戏，没有上站，怎么还是损失了4伪币？
再来1个包子，我凑10个一起捐了
avatar
h*h
44 楼
呵，昵称狠强悍啊

【在 m*****n 的大作中提到】
: 我玩了一天游戏，没有上站，怎么还是损失了4伪币？
: 再来1个包子，我凑10个一起捐了
avatar
a*a
45 楼
我也有过那个昵称。你这个我也有过

【在 h*h 的大作中提到】
: 呵，昵称狠强悍啊
avatar
y*u
46 楼
我终于可以登录了，来源地址还是不对。真讨厌，咒它明年破财。

【在 a***a 的大作中提到】
: 我也有过那个昵称。你这个我也有过
相关阅读
【动物摄影】Costa Rica和Alaska野生动物(updated)买买提（mitbbs.com）2012年9月12日临时维护通知 (转载)美国野外首次发现雌蛇单性生殖孕育后代狮子凶起来还是很猛啊有谁知道这蛇会有毒吗 (转载)小象绊倒摔了一个嘴啃泥火星粘土或通过熔岩形成 排除存在生命可能18个月小女孩与300磅大猩猩玩耍新人贴，顺便求鉴别【动物摄影】Rabbit超萌树懒组图正确做法是：100分钟前戏【动物摄影】Deer Family售价二百七十万元的鱼白狗变身奶爸收养小白狮子澳大利亚锲尾鹰大战乌鸦“红嘴绿鹦哥” (转载)豹子跳在空中捉鸟知道抹香鲸是怎么睡觉的吗？【动物摄影】以前拍的动物Part 1 (狗狗), (凑热闹)
logo
联系我们隐私协议©2024 redian.news
Redian新闻
Redian.news刊载任何文章，不代表同意其说法或描述，仅为提供更多信息，也不构成任何建议。文章信息的合法性及真实性由其作者负责，与Redian.news及其运营公司无关。欢迎投稿，如发现稿件侵权，或作者不愿在本网发表文章，请版权拥有者通知本网处理。