「ちょっとこれみてくれない」とurlを送るスパムDMの解析と解説

ムメイさん @mumei_himazin

ログイン済みだとifreameの中身が認証ボタンになる。 でその認証ボタンを押してレスポンスのURLがら認証してるんだね。 http://t.co/Eud85xOixd

ムメイさん @mumei_himazin

ログイン済みでこのURL叩けば勝手に垢乗っ取られるわけか

@enkunkun

認証はしてないけどjsの引数に僕のuseridが入ってたのが気がかりなのでDM送信されないか怖くて寝れないな

ふぶき氏 @fubukiefsf

@enkunkun 認証自動だよ…

ふぶき氏 @fubukiefsf

@enkunkun この界隈で有名なクライアントひと通り入ってるぽい

ふぶき氏 @fubukiefsf

@enkunkun だから引っかかったわけで…

@enkunkun

PIN認証式なら大丈夫なんだろう

ふぶき氏 @fubukiefsf

さっきの画像で全部なら俺の場合、StS、StSPro,tweetbot for iOS　あたりが使われたっぽいな

k5342 @k5342

やばいね 開いただけ http://t.co/N8HWe2y92w

ムメイさん @mumei_himazin

さっきのURL叩くとOUTな奴に使われてるクライアントは TweetDeck Tweetbot for iOS HootSuite ShootingStar iOS ShootingStarPro 変なDM送ってる人はとりあえずこれらの認証を一度外すことをおすすめします。

@enkunkun

iOS の認証外すってことは、略

@enkunkun

iOS側からアカウント削除しなきゃいけないってことなので...

ムメイさん @mumei_himazin

iOSは厄介だなｗ

@enkunkun

login.php に post らしい

ムメイさん @mumei_himazin

@enkunkun ただそのlogin.phpにポストするformに上のifreamのURLを紐つけてるところが見当たらないんだよね・・・。

@enkunkun

@mumei_himazin そこなんだよなー

ムメイさん @mumei_himazin

@enkunkun jsも少なすぎるし

ムメイさん @mumei_himazin

@k5342 あーその手があったかｗ

ムメイさん @mumei_himazin

コールバック先を自分にして送ればいいのか

ムメイさん @mumei_himazin

某URLにアクセス→鯖でコールバックを某URLに指定→OauthのURLをifreameにして見せずにアクセス。→認証→コールバック先が某URLなのでウハウハと

@enkunkun

ほんとだ...

@enkunkun

callback url を変更できない仕様にならない限り

ムメイさん @mumei_himazin

コールバックのURLが別のサイトだねｗ

@enkunkun

設定していない場合新規で設定することはできないとかだったかな