Top
首页 > 网络和信息安全 > 重磅推荐 > 正文

警惕网址欺诈漏洞 部分主流浏览器中招

近日,安全研究员RafayBaloch披露了一个针对主流浏览器的网址欺诈的漏洞细节。在今年3月份,他曾在新加坡举行的BlackHatAsia做过关于地址栏欺骗的主题报告。
发布时间:2016-08-22 11:07        来源:zol.com.cn        作者:

近日,安全研究员RafayBaloch披露了一个针对主流浏览器的网址欺诈的漏洞细节。在今年3月份,他曾在新加坡举行的BlackHatAsia做过关于地址栏欺骗的主题报告。

警惕网址欺诈漏洞部分主流浏览器中招

Unicode字符渲染不当引发漏洞

据Baloch在个人网站中爆料,出现漏洞的主要原因是Chrome和Android版本的Firefox浏览器对某些Unicode字符的渲染不得当。阿拉伯语和希伯来语中会有一些字符是会从右到左显示的,比如“|”。当包含这种Unicode字符的URL和IP地址合在一起时,浏览器就会把URL从右到左显示。

举个例子,某个网址逻辑上的顺序是“127.0.0.1/|/http://example.com/”,但是浏览器会在地址栏中把网址显示成“http://example.com/|/127.0.0.1”。经过翻转的网址IP地址部分其实是很容易隐藏的,尤其是在移动设备上,只要用一个比较长的URL就行了。

部分浏览器厂商跟进修复

目前,针对该漏洞,部分浏览器厂商已表示跟进修复动作。Mozilla表示,该漏洞只存在于Android版本的Firefox浏览器,桌面版本不受影响,并且在8月2日的更新中已经修复了漏洞。基金会也为此向Baloch奖励了1000美元。

Chrome将于今年9月份推出针对此漏洞的更新补丁

Google则表示会在今年9月份的Chrome更新中修复此漏洞。

不过,其他几款浏览器也存在漏洞,但由于厂商尚未修复漏洞,因此还不能透露相关细节。其他浏览器用户需要密切关注下了。

专题访谈

合作站点
stat