资信通讯发展管理局政府首席资讯办公室助理局长江永元昨天在记者会上说，黑客把一组由数字和英文字母组成的网页指令码（script），直接输入在出事网站的搜索工具栏内，使得原本该出现搜索结果的网页，却转到黑客设计的假网页。
工具栏如何被黑客操控
令人费解的是，一个常见的谷歌搜索工具栏究竟为何因为一组指令码而被黑客操控，打开黑客的假页面？
安世科安防科技（Ademco）销售与市场营销总监林柏力受询时说，工具栏应该只有搜索功能，但是如果编写工具栏程序时不够严谨，没有核查指令码的功能，就会造成工具栏除了搜索，还会执行指令。
黑客发现总统府和总理公署网站的搜索工具栏有这个弱点并加以利用，林柏力相信，工具栏没有核查指令就执行，使得搜索器把用户导向假网页。
他还说：“这类恶意指令码可在互联网上找到，若要自己编写也不难，理工学院学生也有能力编写。”
南洋理工大学电脑工程系副教授奥文（Alwen Fernanto Tiu）说，用“跨网站指令码”手法攻击网站，破坏程度可大可小。有些只是打开其他网页，严重的话，可能通过所打开的网页，发送病毒到使用者的电脑或网站服务器。
他还说，要防止这类事件发生，网站编写员必须让网站核查每一个用户输入的字，并删除不合规定的字。
另一方面，中央公积金局昨晚发文告说，公积金局网站和电子服务从昨晚9时至11日早上8时进行预防性维修工作。在这期间公众将无法使用服务。若有急事，公众可在办公时间内到公积金局服务中心寻求协助。
联合早报 李蕙心
2013年11月09日
