当前位置:   article > 正文

大杀器-浏览器攻击方式-零基础网安知识点

大杀器-浏览器攻击方式-零基础网安知识点

大杀器-浏览器攻击方式-零基础网安知识点

本文译自:mrd0x.com/-in-…

本文探讨了一种钓鱼技术,即在浏览器内模拟浏览器窗口来伪造一个合法的域名。

简介

对于安全专家来说,URL 通常是一个域名最值得信赖的方面。是的,有像 IDN 和 DNS 这样的攻击可能会降低 URL 的可靠性,但还没有达到使 URL 不可靠的程度。

这一切让我想到,是否有可能使 "检查URL" 的建议不那么可靠?经过一周的头脑风暴,我确定答案是肯定的。

浏览器被攻击__浏览器攻击方式

弹出式登录窗口

很多时候,当我们通过谷歌、微软、苹果等公司认证一个网站时,我们会得到一个弹出的窗口,要求我们进行认证。下面的图片显示了当有人试图用他们的谷歌账户登录 Canva(译者注:一款在线平面设计工具)时出现的窗口。

_浏览器被攻击_浏览器攻击方式

复制窗口

幸运的是,使用基本的 HTML/CSS 复制整个窗口设计是非常简单的。将该窗口设计与指向托管钓鱼页面的恶意服务器的 结合起来,其基本上没有区别。下面的图片显示了假窗口与真实窗口的对比。很少有人会注意到这两者之间的细微差别。

_浏览器攻击方式_浏览器被攻击

可以很容易地使用 来使窗口在链接或按钮点击时出现,在页面加载时出现等等。当然,你也可以通过 等库中的动画,使窗口以一种视觉上吸引人的方式出现。

演示

悬停上的自定义URL

在允许使用 的情况下,将鼠标悬停在一个 URL 上以确定它是否合法并不是很有效。链接的 HTML 通常看起来像这样。

href="https://gmail.com">Google

如果添加了一个返回 false 的 事件,那么在链接上悬停将继续显示 href 属性中的网站,但当链接被点击时,href 属性就会被忽略。我们可以利用这些知识来使弹出窗口看起来更真实。

  1. "https://gmail.com" onclick="return launchWindow();">Google
  2. function launchWindow(){
  3. // Launch the fake authentication window
  4. return false; // This will make sure the href attribute is ignored
  5. }

可用的模板

我已经为以下操作系统和浏览器创建了模板。

这些模板可以在我的 上找到。

总结

有了这个技术,我们现在就可以升级我们的网络钓鱼游戏。目标用户仍然需要登录你的网站以显示弹出式窗口。但是,一旦访问攻击者拥有的钓鱼网站,用户就会放下戒备,在看似合法的网站上输入他们的凭证(因为可信的 URL 是这样说的)。

(完)

以此为灵感,前段时间本人也复刻了一个 登录的例子,如下:

网络安全学习路线图(思维导图)

网络安全学习路线图可以是一个有助于你规划学习进程的工具。你可以在思维导图上列出不同的主题和技能,然后按照逻辑顺序逐步学习和掌握它们。这可以帮助你更清晰地了解自己的学习进展和下一步计划。

1. 网络安全视频资料

2. 网络安全笔记/面试题

3. 网安电子书PDF资料

如果你向网安入门到进阶的全套资料,我都打包整理好了,需要学习的小伙伴可以V我找我拿~

学网络安全/学黑客,零基础资料整理来啦~~~

~

声明:本文内容由网友自发贡献,不代表【wpsshop博客】立场,版权归原作者所有,本站不承担相应法律责任。如您发现有侵权的内容,请联系我们。转载请注明出处:https://www.wpsshop.cn/w/喵喵爱编程/article/detail/840543
推荐阅读
相关标签
  

闽ICP备14008679号