社交網絡七大陰險攻擊手法深度剖析（中）：XSS/CSRF 跨站攻擊與身份盜竊

二、製造垃圾郵件與殭屍網絡

垃圾郵件已成巨大產業（廣告、點擊欺詐、殭屍網絡傳播惡意碼）。攻擊者如蛆蟲般滲入社交社群，劫持用戶帳號利用通訊錄傳播垃圾郵件、蠕蟲、惡意軟體。國外知名社交網站可見大量夾帶惡意軟體附件的垃圾郵件，誘騙點擊「精彩影片連結」實為特洛伊木馬下載連結，將電腦變為殭屍節點。

三、被改造的社交網絡應用程式

用戶輕易安裝瀏覽器應用程式，卻不知其可能取得系統存取權，竊取極隱私資料。第三方應用成為攻擊者便利工具，代碼型攻擊亦獲途徑。非所有虛擬工具皆惡意，如 OpenSocial 提供限制惡意 JavaScript 選項，但不熟練開發者不知使用，且為可選項，極少採用。結果：對安全不敏感的開發者構建應用，傳播速度如野火。

四、個人資訊與專業資訊交叉混雜

即使分帳號私用/專用，前者照片仍可能出現在後者帳號甚至老闆信箱。開放社交網絡下，照片、工作經歷皆成到處複製貼上的對象。

五、跨站腳本攻擊 (XSS) 或跨站請求偽造 (CSRF)

XSS/CSRF 是顯性攻擊工具。部分社交網絡蠕蟲利用 XSS 傳播，多數站點有防 XSS 機制，CSRF 尚未普及。XSS 中惡意碼注入有漏洞 Web 應用，查看頁面用戶即被「黑」；CSRF 欺騙瀏覽器發出登入請求。兩者對社交網站未造成巨大風險，但潛在威脅在於：攻擊者可強迫用戶載入 HTML 碼，利用瀏覽器漏洞、感染殭屍網絡、操控用戶帳號。CSRF 可在多個社交站點間跳轉，隨用戶持續登入而傳播，是被忽視的駭客行為。