Phòng chống bị xẻo blog Yahoo 360...

Huhuhu... Một lỗi khi rất phổ biến với ứng dụng Web là Cross Site Request Forgery (CSRF hoặc XSRF) đã giúp cho những kẻ phá hoại có thể remove toàn bộ các comment cũng như blog-entry của bà con! Huhuh, phải cẩn thận !

Trong khi chưa có thông tin sửa lỗi này từ Yahoo thì bà con phải cẩn thận!! Phương pháp hữu hiệu và triệt để nhất là sign-out khỏi Yahoo 360 khi duyệt Web! Nếu trong trường hợp bất khả kháng, làm theo những hướng dẫn sau:

1. Phòng chống bằng biện pháp "xã hội":
- Duyệt web ít lại, chỉ vào những trang tin cậy (ví dụ của Invisible nè ).
- Đừng click vào những link lạ, trừ những link Invisible gửi (lý do là trường hợp xui nhất cũng có người chết chung ).

2. Phòng chống bằng biện pháp "kỹ thuật":
- Khi thấy thanh progress/status bar của trình duyệt nhá nhá liên tục đến trang "360.yahoo.com", ngay lập tức đóng cửa sổ trình duyệt càng nhanh càng tốt... Hạn chế tang thương được chừng nào hay chừng ấy .
- Làm theo những bước sau để chặn tất cả những GET request tự động bởi trình duyệt đến những link "ác", ví dụ remove các entries/comments của bạn, mà bạn kô hề hay biết!!!

1. Từ bỏ IE và sử dụng ngay trình duyệt Firefox. Download ở đây: Get Firefox
2. Sau khi cài đặt xong Firefox, cài ngay extension AdBlock Plus để chặn quảng cáo và chặn luôn những request kô mong đợi (ví dụ request delete một blog entry...), download và cài đặt ở đây: AdBlock Plus
3. Bạn nên cài thêm một bộ filter cho AdBlock Plus để trị luôn những quảng cáo thông dụng, vào trang chủ của EasyList (recommend) để cài đặt EasyList và EasyElement.
4. Soạn file "BlockMe.txt" với nội dung như sau:
   

   [Adblock Plus 0.7.1]
   http://*360.yahoo.com/*gbd=*
   http://*360.yahoo.com/*delete.html?id=*
   http://*360.yahoo.com/*recent_comments.html?d=*
   http://*360.yahoo.com/*delete.html?msgid=*
   http://*360.yahoo.com/*dc=*
   

5. Vào Tool -> [Add-ons ->] AdBlock Preference, chọn Filters -> Import Filters -> Chọn đường dẫn đến file "BlockMe.txt" ở trên và import vào với tùy chọn "Append". Bạn cũng có thể thêm từng dòng ở trên (trừ dòng đầu ) vào bộ Filter bằng cách "Add Filter".
   
6. Bổ sung: Để tránh trường hợp bọn ác dùng STYLESHEET để "xẻo", bạn phải vào AdBlock Preference như ở trên và đến phần "Exception rules", xóa (hoặc disable bằng cách click vào cái nút tròn nhỏ nhỏ màu xanh cho thành xám) cái default rule: "@@$stylesheet". Nếu kô, bọn ác dùng "<link type="text/css">" hoặc "@import url(...)" là tiêu ...
   
7. Bọn ác còn cách chơi khác là dùng Redirect Header bằng cách dùng "<meta equiv="refresh" content="5; http://url;">", cái này thì AdBlock Plus bó tay, nhưng nói chung thương vong hông nhiều ...
   
Hi vọng sau khi cài thêm AdBlock extension ở trên, bà con có thể hạn chế được phần nào những tang thương do XSRF gây ra và đừng quên đó kô phải là biện pháp triệt để , tức là vẫn có khả năng bà con sẽ bị "xử" (đó là khi "bọn ác" nó dùng client-script, ví dụ Javascript, để chém bà con ).

Hehehe, Invisible may mắn là chưa bị mất mát tí gì ... Nhưng... Huhuhe, bữa này ai kô để blog ở chế độ "Public" thì Invisible kô đọc được đâu nha ! Huhuh, cẩn thận vẫn hơn... Bà con comment xong thì cũng click vào link [Signout] ở trên để ra khỏi Yahoo Mail/360 liền đi... Coi chừng bị bọn ác chém !! Huhuhuh ...