ما هو tabnabbing؟
تم بالفعل كتابة العديد من المقالات حول هذا الموضوع ، على سبيل المثال ،
هذا المقال على
OWASP .
باختصار - التحكم في علامة تبويب المتصفح من خلال علامة تبويب فرعية مفتوحة مع الهدف = "_ فارغ". عن طريق تعيين رابط إلى موقع خارجي به هدف = "_ blank" ، سيكون للموقع حق الوصول إلى
window.opener ، حيث يمكنك من خلاله تغيير
موقع علامة التبويب التي يؤدي إليها الرابط. جميع الخدمات الرئيسية التي تسمح لك بتضمين الروابط تحمي المستخدم من هذا السلوك عن طريق إضافة
rel = "noopener" أو صفحة وكيل.
نعم ، حتى عندما كان في Yandex.Mail - تم التعرف عليه وإغلاقه.
ولكن ليس في صفحات توربو
لقد أرسلت تقريراً مفاده أن جميع الروابط التي يتم إدراجها في صفحة turbo تكون عرضة للتطابق - في المحتوى وفي القائمة. يمكن لمالك الموقع إدراج أي روابط هناك. والأهم من ذلك ، يتم عرض الصفحات التوربينية في المقام الأول لعملاء الأجهزة المحمولة ، الذين هم أكثر عرضة للاحتيال من خلال هذه الثغرة الأمنية ، لأنه في كثير من الأحيان لا ترى صفحات رابط بسبب واجهة أضيق الحدود.
مثال على ارتباط القائمة الضعيفة:
ما وصلت إليه هذه الإجابة (بعد شهرين وطلبت الرد على Twitter):
ولماذا هذا سيء؟
على الرغم من أن هذا السلوك موصوف في المواصفات ، إلا أنه ليس واضحًا للمستخدم. لا يتوقع المستخدم تغيير علامة التبويب التي نقر عليها.
في أحسن الأحوال ، سيتم استبدال صفحة turbo بشعار إباحي ضخم ، وفي أسوأ الأحوال ، نسخة من صفحة turbo مع نموذج كلمة مرور تسجيل الدخول ، على سبيل المثال. نطاق ضخم للتصيد!
كما هو الحال في بقية العالم ، أنا أعتبر هذا نقطة ضعف.
ما رايك