JavaScript控制href属性进行钓鱼的分析

JavaScript控制href属性进行钓鱼的分析 - 网站安全

来源：自学PHP网时间：2015-04-17 11:59 作者：阅读:次

[导读] 前一阵子，发现JavaScript中允许临时改变a标签的href属性,当改变其属性后你点击它可能看不出有多严重，但是，它可以通过欺骗手段来诱骗用户透露他们的详细资料。// Uncompressedvar links...

前一阵子，发现JavaScript中允许临时改变<a>标签的href属性,当改变其属性后你点击它可能看不出有多严重，但是，它可以通过欺骗手段来诱骗用户透露他们的详细资料。

// Uncompressed
var links = document.getElementsByTagName('a');
for(var i=0; i < links.length; i++){
    links[i].onclick = function(){
        this.href = 'http://freebuf.com/phishing/……'; // 插入链接（你们懂的）
    };
}

// Compressed (100 characters exc. the link)
o=document.getElementsByTagName('a');for(j=0;j<o.length;j++){o[j].onclick=function(){this.href='http://freebuf.com/phishing/……';}}

当你点击链接，javascript代码被执行并改变了<a>标签的href属性。令人惊讶的是，浏览器竟然把受害者导航到一个新的链接。而受害者通常会简单的认为,可能只是一个重定向链接，这里我们假设网站的访问者已经习惯了这种重定向现象,这一缺陷便可以进行网络钓鱼。
这种钓鱼很难能被检测到。很多人都使用JavaScript/ jQuery框架组合来绑定<a>标签，每个<a>标签的onclick函数不是那么容易就能解除绑定的。一个技术还不错的黑客可以嵌入恶意的JavaScript或进行代码注入，因为这样很容易更新JavaScript(尤其是可嵌入的)。
Opera除外：Opera好像会自动固定 href属性

跨站脚本攻击（XSS）的原理、防范和处理方法

07073小游戏官网任意文件读取 - 网站安全 - 自学

子栏目

JavaScript控制href属性进行钓鱼的分析 - 网站安全

最新评论

添加评论

更多文章推荐

添加评论