57
Browser UI Security 技术白皮书 – 腾讯玄武实验室
source link: http://xlab.tencent.com/cn/2017/10/16/browser-ui-security-whitepaper/
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
Browser UI Security 技术白皮书
2017-10-16
Browser UI ,是指浏览器用户界面。浏览器经过几十年的发展，对于用户界面并没有一个统一的规定标准，目前大多数现代浏览器的用户界面包括：前进和后退按钮、刷新和停止加载按钮、地址栏、状态栏、页面显示窗口、查看源代码窗口、标签等。另外可能还会有一些其他的用户界面，例如下载管理、页面查找、通知、系统选项管理、隐身窗口等等。我们可以把Browser UI认为是一个前端标签式的页面管理器或者Web的外壳，用户不必去考虑浏览器应用程序底层是如何处理数据的，所有的网络行为结果，均由Browser UI去展现给用户。
从安全的角度来说，浏览器UI上最容易发生的攻击就是用户界面欺骗，也就是UI Spoof。通常UI Spoof被用来进行网络钓鱼攻击使用。网络钓鱼是社会工程学中用于欺骗用户，进而获取用户的敏感信息的一种攻击手段，通常使用伪造网站等方法，诱使用户从视觉感官上相信其是合法真实的，当用户在浏览器中进行操作后，敏感信息就有可能被攻击者获取到。
因此浏览器UX团队在开发UI过程中，在便捷用户浏览的同时，对UI安全模型上的设计、策略、逻辑也显得非常重要，安全的UI能帮助用户在上网时快速、准确的做出正确安全的决策。 而UI一旦出现了缺陷，攻击者就可能伪造浏览器UI中的某些关键信息，进而对用户实施网络钓鱼攻击。
本技术白皮书中将给大家介绍什么是UI Spoof漏洞，并对多个浏览器UI上的安全漏洞进行详细分析。
Recommend
About Joyk
Aggregate valuable and interesting links.
Joyk means Joy of geeK