64
微软和苹果浏览器漏洞：不改变地址即可改变网页内容
source link: https://tech.sina.com.cn/i/2018-09-12/doc-ihiycyfx5261179.shtml?amp%3Butm_medium=referral
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
新浪科技讯 北京时间9月12日早间消息，据美国科技媒体The Register报道，安全研究人员发现Edge和Safari浏览器存在漏洞，恶意者可以利用漏洞发起攻击，在不改变地址的情况下改变网页内容。
安全研究人员拉菲·巴罗奇（Rafay Baloch）指出， 微软 已经用补丁修复漏洞，不过 苹果 行动迟缓，所以目前Safari仍然不安全。
通过漏洞，攻击者可以加载合法页面，让网页地址在地址栏显示，然后快速将页面内的代码转换为恶意代码，地址栏中的URL地址无需改变。这样一来，攻击者可以创建虚假登录屏幕或者其它表格，收集用户名、密码及其它数据，用户很难区分真假，他们会认为自己登录的页面是真实的。
浏览器的源码是封闭的，巴罗奇不清楚Edge和Safari存在该漏洞，但Chrome和火狐没有的原因。照他的猜测，浏览器决定何时显示页面地址可能是问题的关键。巴罗奇说：“不同的浏览器处理导航的手法并不一样，当页面正在加载时，Safari、Edge浏览器允许代码更新。浏览器可以允许地址栏在页面完全加载之后更新一次，这样就可以解决问题了。”
微软目前已经修复漏洞。6月2日巴罗奇向苹果提交报告，至今还没有修复。按照惯例有90天的时间窗口，巴罗奇说他会披露漏洞，但是在苹果发布补丁之前不会公开代码。(德克)
Recommend
About Joyk
Aggregate valuable and interesting links.
Joyk means Joy of geeK