首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

Twitter的XSS漏洞构造出Twitter XSS Worm

2018年年中,当时我发现了一个Twitter的存储型XSS漏洞,该漏洞位于Twitter的犄角旮旯之处,一般人很难发现。...card_url": "https://t.co/1vVzoyquhh" } } 请注意,HTML解析机制发现在起始的闭合标签,无论是在字符串或评论或正则表达式中,那么,这种script脚本范围都会到此终止...,如 ab 直接被过滤为了ab; 3、或者是Payload长度被限制在300个字符内; 4、存在内容安全策略CSP,通过白名单方式来限制某些内联脚本(Inline Scripts)。....]"}); 所以现在我们只需找到一种方法,那就是在'window'对象(浏览器打开窗口)上定义__twttr引用,这里有两种方法来实现: 1、找到一种符合白名单且定义了 __twttr 变量的脚本,...tweet_id=1114986988128624640; 2、绕过CSP策略调用一个同步方法函数,如alert,去推迟下一个脚本块的执行,直到上面的iframe元素完全加载执行。

1.5K30
您找到你想要的搜索结果了吗?
是的
没有找到

twitter系统架构分析

twitter系统架构分析 (一)twitter的核心业务 twitter的核心业务,在于following和be followed: (1)following-关注 进入个人主页,会看到你follow...twitter工程师认为,良好体验的网站平均响应时间应该在500ms左右,理想的时间是200-300ms。 关于cache的使用,是twitter架构的一大看点,带cache的架构清晰如下: ?...twitter的做法是,将表拆分,将其中访问最频繁的字段装入cache。...用户访问twitter时,接待他的是apache web server,而apache不能接待无限多的用户。 2009年1月20日,奥巴马发表就职演说,twitter流量猛增,此时如何是好。...真正的抗洪能力,体现在蓄洪与泄洪两个方面: (1)twitter有庞大的memcached集群,能大容量蓄洪; (2)twitter自己的kestrel消息队列,作为引流泄洪手段,传递控制指令(引流和渠道

2.8K70

Twitter 终究还是挂了

12月28日,Twitter 用户报告了这家社交媒体发生的全球性中断事件,全球数万用户无法访问该网站或使用其主要功能。...总部位于伦敦的互联网监控器 NetBlocks 表示,“Twitter 正在经历全球性中断,影响包括移动应用程序、功能(含通知)”。...Twitter 尚未承认中断,其状态页面显示所有系统都在运行。 一些用户反馈 Twitter 出现很多奇怪的错误消息,比如看到的是空白页面,或无法回复推文或关注热门话题,而另一些人是退出服务。...Twitter 首席执行官埃隆·马斯克表示,他仍然可以使用这项服务。“对我有用,”马斯克回应一位询问 Twitter 是否崩溃的用户时说。...参考链接: https://techcrunch.com/2022/12/28/twitter-down-outage/ https://www.reuters.com/technology/twitter-down-thousands-users-downdetectorcom

1.1K20

Twitter账户活动情况分析工具 – Simple Twitter Profile Analyzer

作为一个每天都会使用Twitter的网络安全顾问,Twitter是一个获取和分享相关信息的最佳平台。...而且, 所有这些元数据都可以通过开放的Twitter API访问。...为此,针对某个特定账户,我编写了一个Python脚本,它通过探测推文发布频率、时区和语言、地理位置、推文标签、转发账户、朋友互动等信息,具备获取最新推文、抓取元数据、识别每天每一小时的Twitter使用情况等功能...对特朗普Twitter账户@realdonaldtrump的分析 特朗普的Twitter账户是由多人负责管理吗? 那么多的推文发送端,值得回味猜想!...Twitter账户分析工具源码下载:GitHub,安装使用请参考其中说明文档。 ?

2.4K50

系统监控及钉钉机器人告警脚本

https://blog.csdn.net/qq_38215042/article/details/108768839 2、shell文件配置 (1)当前是将服务器CPU相关监听和中间件的Shell脚本文件分开设置的...(2)在相应的shell脚本文件中,已经将配置可能要修改点作了标记,可根据实际情况进行针对性修改。...(3)在shell脚本修改完成后,查看脚本是否执行权限,没有则调用命令进行设置 # 将sh文件添加可执行权限 chmod u+x dingtalk.sh # 或设置全部权限 chmod 777 dingtalk.sh...命令说明 4、定时任务执行情况检查 # 进入定时任务log下 cd /var/log # 查看定时任务是否调用 tail -f cron 三、Shell配置说明 1、服务器CPU、内存、磁盘监控脚本...按照自己需求配置即可,同上 # flink_status=`netstat -lntup |grep -w "$Port_flink" |wc -l`':flink' #【配置5】钉钉webhook,此处为添加的钉钉机器人

53710

Zabbix 随笔:钉钉机器人告警(脚本方式)

本文将带来 Zabbix 6.0 LTS 如何利用 Python 脚本实现钉钉机器人通知告警信息。...,点击添加机器人后面的 … (如下图) 进入机器人管理后,下拉找到自定义(通过 Webhook 接入自定义服务,如下图) 点击添加 填写相关信息。...钉钉机器人需要设置安全条件,如果不符合安全条件,则无法通过钉钉机器人发送消息,这点需要注意 自定义关键词 加签 IP 地址(支持网段) 完成机器人添加后记住 Webhook 的地址,下面会用到 添加完成后...,群聊里会有相关提示 Zabbix 配置 由于是脚本的关系,所以需要找到 Zabbix 调用脚本的路径 cat /etc/zabbix/zabbix_server.conf | grep AlertScriptsPath...脚本需要注意格式缩进,如果出现脚本不可用,基本就是格式问题, python3 python2 #!

2.8K30

系统设计:Twitter搜索服务

需求 Twitter是最大的社交网络服务之一,用户可以在其中共享照片、新闻和基于文本的消息。在本章中,我们将设计一个可以存储和搜索用户推文的服务。类似的问题:推特搜索。...难度:中等 1.什么是Twitter搜索? Twitter用户可以随时更新他们的状态。每个状态(称为tweet)都由纯文本组成,我们的目标是设计一个允许搜索所有用户推特 的系统。...2.系统的要求和目标 •假设Twitter拥有15亿用户,每天有8亿活跃用户。 •推特平均每天收到4亿条推特。 •推文的平均大小为300字节。 •假设每天有5亿次搜索。...image.png Twitter搜索的高级设计 6.详细部件设计 1.存储: 我们每天需要存储120GB的新数据。...假设我们有一个服务,它可以在需要存储对象时生成唯一的TweetID(这里讨论的TweetID与设计Twitter时讨论的TweetID类似)。

5.2K400

Twitter 重构了广告平台

这就是 2019 年初 Twitter AdServer 的情况。经过 10 年的迭代开发之后,系统的效率已经太低,无法与组织的发展保持同步。...如今,Twitter 的收入组织包括 10 倍以上的工程师和约 30 亿美元的收入,支持多种广告格式——品牌、视频、卡片。 新产品发布慢,团队之间紧密依赖,管理成本很高,这些都增加了组织的复杂性。...熵 增 当 Twitter 只有两种广告产品——推广推文和推广账户时,这个单体平台运行得很好。然而,当我们扩大业务时,单体模式带来的挑战便多于解决方案了。 新增一个广告产品 ?...风险与利弊 在 Twitter,这种广告模式的转变必然会伴随着风险和权衡。我们想列出其中一些,以提醒读者,在决定对现有系统进行大规模重构之前,必须识别和承认存在的弊端。...总 结 分解 AdServer 改善了我们系统的状态,强化了 Twitter 广告业务的基础,让我们可以把时间和资源集中在解决真正的工程问题上,而不是与遗留基础设施的问题作斗争。

44410
领券