13岁少女因几行JS代码被逮了！

转自CSDN公众号极客宝宝

作者 | 伍杏玲

出品 | 极客宝宝&＃xff08;ID&＃xff1a;geek_baby&＃xff09;

只因几行Js代码&＃xff0c;她被逮了

13岁&＃xff0c;在中国正是上小学六年级或是初中一年级的年纪&＃xff0c;他们正忙于做不完的作业和补不完的习。

最近在日本刈谷市&＃xff0c;一名13岁的女学生&＃xff0c;因为将一段Javascript代码的链接发布到网上&＃xff0c;

而被警察逮捕了。

什么代码这么厉害呢&＃xff1f;笔者脑海里已出现“天才黑客少女入侵某某官网”的情景了……

结果一看源码&＃xff0c;空气有些凝固。

for ( ; ; ) {
  window.alert("　∧_∧　ババババn&＃xff08; ?ω?)&＃61;つ≡つn&＃xff08;っ ≡つ&＃61;つn&＃96;/　　)n(ノΠ&＃xff35;n何回閉じても無駄ですよ&＃xff5e;wwnm9&＃xff08;&＃xff3e;Д&＃xff3e;&＃xff09;プギャー&＃xff01;&＃xff01;n　byソル (&＃64;0_Infinity_)")
}

笔者将代码拷贝在txt&＃xff0c;跑了下&＃xff1a;

一段很普通的window.alert代码&＃xff0c;上面的日文翻译是“多次关闭它是没用的”。只是加了for循环&＃xff0c;点击“确定”还会一直弹出。在谷歌浏览器里&＃xff0c;可以直接叉掉即可。

真の熊孩子系列。

该女生说这是一个恶作剧&＃xff0c;觉得让别人点开链接但关闭不上弹出框是很好玩的事。

有网友也疑惑&＃xff0c;不明白为什么这个很简单的脚本会引起警方如此大的动静&＃xff0c;这恶作剧脚本早在2014年就有了。

此事仍在发酵&＃xff0c;有IT工程师Kimikazu Kato认为警方仅因为一段JS的alert代码就将女孩归为犯罪&＃xff0c;是很滑稽的事。

他在GitHub发布一个叫“大家一起被捕吧计划”来抗议警方&＃xff0c;在此计划中成员将会分享JS无限弹窗代码。

被“捕”方法的方法是&＃xff1a;“只要 Fork 本项目&＃xff0c;并建立一个新的 gh-pages Branch。如果分享 ‘http://你的账户.github.io/lets-get-arrested’ 这个 URL 到各大 SNS 平台上口味更佳。”

目前已有25个Issues&＃xff0c;Readme如下&＃xff1a;

上面的JS代码十分简单且没有危害&＃xff0c;为什么会收到警方的重视呢&＃xff1f;

因为这是XSS攻击&＃xff01;

XSS攻击

几年前新浪微博曾有一次被攻击的经历&＃xff1a;有用户自动向自己的粉丝发送含“有毒”的私信和微博&＃xff0c;当粉丝点开链接时&＃xff0c;立即中毒再往外传播&＃xff0c;形成恶性循环。

这就是XSS攻击。

XSS攻击又叫跨站脚本式攻击&＃xff0c;是一种经常出现在WEB应用中的计算机安全漏洞&＃xff0c;它可以将恶意代码植入到提供给其它人用的页面中&＃xff0c;钓鱼网站就是XSS攻击。简单说&＃xff0c;XSS是尽一切办法在目标网站上执行非目标网站上原有的脚本&＃xff0c;目的是盗取用户帐号、控制企业数据、非法转账、控制受害者机器向其它网站发起攻击等。

XSS攻击有三种类型&＃xff1a;

1.反射型&＃xff1a;攻击者诱使用户去访问一个包含恶意代码的 URL&＃xff0c;当受害者点击该链接时&＃xff0c;恶意代码会直接执行&＃xff0c;常用来窃取客户端 COOKIEs 或进行钓鱼欺骗。

2.存储型

攻击者在网站发布带有恶意代码的文章&＃xff0c;此时网站服务器将恶意代码存储了&＃xff0c;后续每个访问该文章的人就会触发恶意代码。

3.DOM-based 型

基于文档对象模型Document Objeet Model的一种漏洞&＃xff0c;其实也属于反射型。

微博那次攻击属于反射性攻击&＃xff0c;是由于网站对部分XSS过滤不严所致&＃xff0c;当用户点开有毒链接时&＃xff0c;脚本被执行了&＃xff1a;www.2kt.cn/images/t.js。

一般来说&＃xff0c;这种网址会被拦截&＃xff0c;结果由于网站不够安全&＃xff0c;脚本被执行&＃xff0c;导致问题的产生。防范XSS攻击需要前后端一起做相应的防御手段才行。

如果说上述的13岁少女拿着编程技术去玩恶作剧&＃xff0c;以下的17岁黑客少年可真的触犯法律了&＃xff01;

海燕3号&＃xff1a;黑客少年犯罪事件

在2013年7月&＃xff0c;某商业银行在全国范围里连续发生多起银行卡被网上盗刷的案件&＃xff0c;受害人达数千人。

经警方排查&＃xff0c;这起重大犯罪案件的主犯竟是一位17岁的少年黑客&＃xff01;

他先是通过自编的黑客软件在网上套取了160万条公民个人信息和银行卡账号&＃xff08;其中19万条信息可以直接网上盗刷&＃xff09;&＃xff0c;再通过中介倒卖这些信息。接着是寻找银行网上支付软件的支付漏洞&＃xff0c;用这些偷来的真实用户信息在网上进行盗刷或转账。

据警方统计&＃xff0c;涉案金额达14.98亿余元。

有趣的是&＃xff0c;这个小伙子只有初中文化&＃xff0c;却自学成为一名黑客高手。进了看守所后&＃xff0c;他仍勤奋地在自学C&＃43;&＃43;。

以前有人总说“技术无罪”&＃xff0c;可真是如此吗&＃xff1f;实际上&＃xff0c;技术无罪仅是一层滑稽的遮丑布罢了。希望各IT从业者能将合法合规地使用技术&＃xff0c;造福人类社会。