隐藏在分享按钮中的攻击:Blogger.com曝高危CSRF(跨站请求伪造)漏洞

埃及安全专家Mazen Gamal Mesbah在Blogger.com中发现了一个高危CSRF(跨站请求伪造)漏洞。 该漏洞可以使攻击者在博主不知情的情况下撰写和发布博客,同时可以把私密博客公开。Blogger是Google旗下的大型博客服务网站,也是全球第一家提供大规模博客服务的提供商,

隐藏在分享按钮中CSRF漏洞

Blogger的主页上有一个按钮,叫做Blogger Share(博客分享)按钮,漏洞就是隐藏在这个按钮中。点击这个按钮你就会发出一个跨站请求伪造(CSRF)请求。攻击者可以很容易的利用该漏洞发起攻击,因为他可以随意的撰写博客,至于撰写的内容也完全由他掌控。

安全研究人员提供了一个漏洞概念验证视频:

视频源地址:https://www.youtube.com/watch?v=Wwv1S_JnEvU

目前谷歌的安全专家已经修复这一漏洞。但还是建议博主们赶紧更新Blogger并时刻留意自己的博客内容,以防被攻击者用来散布不良言论。