ソーシャルブックマークユーザーのIDとPASSをいとも簡単に抜き取る手口

Ｂボタンフィッシングとは何？

記事の最後には私のブログでもおなじみの、はてなブックマークへ追加ボタンや、バザールのブックマークボタン（Ｂボタン）を設置しているブログを最近良く見かける。
何気なく私はそれを利用したりしている。


↑これのこと

彼がサンプルとして作ってくれた物を試してみた。

Ｂボタンをクリックすると次の画面が出てくる。


『あれ？セッションがきれたのかな』と思い、自分のIDとパスワードを入れてログイン。
すると次の画面へ飛ぶ。


ここで、ブックマークの追加を押すと、実際にきちんとブックマークが出来るところがまた恐ろしい。

見事な流れにフィッシングに気づかなかった

よくよくはてなの画面を見るとURLが全然違う画面が一つだけある。
それはログイン画面だ。

ログイン画面に入力した内容を、サーバーにあるテキストファイルに書き込むプログラムが仕込まれている。

ホスト名、IPアドレス、ブックマークした時間。
サーバーには、このログインＩＤとＰＡＳＳを保存するログファイルがあり、ここに書き込まれる。

そのあとの仕組みもいやらしい

はてなブックマークする画面というのは次のアドレスだ。

http://b.hatena.ne.jp/entry/http://ここにブックマークする記事のURL

これでブックマーク直前の画面にいく。

だから偽ログインが終わったあと、上のアドレスのブックマークURLにジャンプすると、きちんとはてなでブックマークが出来るのです。

ちょっとややこしい話になるかもしれないけど

簡単にばれないような細工もある。

例えば、偽アドレス
http://nisemono90.com/89.html
という記事をブックマークしようと、偽ブックマークボタンを押すと、偽ログイン画面が出て、入力を求められる。
ログインして本物のはてなページへ飛ぶと、次のアドレスをブックマークしようとしている。
http://nisemono90.com/demo.html

つまり、はてなに登録するURLは、正常なフィッシングの仕掛けのない記事を使い、フィッシングするページはブックマークされないようにするシステムだ。

一応、ネタ用に作ってくれたものなので、このシステムは既に削除されていることをあらかじめご了承ください。

これはもしかしたら私も引っかかるかもしれないなと感じ、悪用厳禁で、自己防衛のために覚えておいていただければなと。

あとがきつけたし
朝方書いた記事で時間がなかったため、ブックマークIDを使うとどんなことをされるのかも聞いていたのですが書ききれませんでした。
続きは2007年4月6日中にアップいたしますので、どうかご勘弁くださいますようおねがいします。

さらにつけたし
続きをアップしました