转载

Safari浏览器曝URL欺诈漏洞

Safari浏览器曝出一个可被攻击者用作钓鱼攻击的新漏洞——当攻击者在加载一个页面时，地址栏中会显示另一网址。例如，当用户在浏览deusen.co.uk网站内容时，浏览器地址栏中显示的却是dailymail.co.uk地址。

研究团队Deusen演示了这个网址欺诈漏洞会如何被黑客用来欺骗用户，让用户以为他们访问的是正规的网站。尽管研究人员提供的POC不是很完美，但也足以修复这一问题。

POC地址： http://www.deusen.co.uk/items/iwhere.9500182225526788/

Safari浏览器曝URL欺诈漏洞

Safari浏览器曝URL欺诈漏洞

通过快速分析Deusen团队的演示页面，我们发现，演示页面似乎强制Safari用户访问每日邮报的URL，你可以在浏览器UI这里看出来。这段脚本会在页面加载完毕之前加载另外一个URL。

<script>  function f()  { location="dailymail.co.uk/home/index.htm…"+Math.random(); }  setInterval("f()",10);  </script>

在浏览器找到真正的网页之前，利用setInterval()函数网页会每10毫秒重新加载一次，直至找到真正的网页。

Safari浏览器曝URL欺诈漏洞

*参考来源 isc.sans.edu ，转载请注明来自FreeBuf黑客与极客（FreeBuf.COM）

正文到此结束

所属分类：编程技术

本站定位：个人技术类博客

本站作用：写博客、记日志、闲聊扯淡鼓捣技术。