इंसेप्शन बार: एक नई फ़िशिंग विधि

शुभ दिन, हेब्र! इंटरनेट पर, मुझे जिम फिशर द्वारा अंग्रेजी में एक लेख "द इंसेप्शन बार: अ न्यू फिशिंग मेथड" आया। यह फ़िशिंग के एक दिलचस्प तरीके का वर्णन करता है, जिसका तंत्र Google क्रोम के मोबाइल संस्करण के URL के डिस्प्ले स्ट्रिंग के स्क्रीन स्पेस का उपयोग करना है। मूल लेख प्रायोगिक फ़िशिंग पृष्ठ पर स्थित है: आप स्वयं इस पर जा सकते हैं और वर्णित विधि के खतरों के बारे में अपना निष्कर्ष निकाल सकते हैं। जो कोई भी दिलचस्पी है, कट के तहत स्वागत है!

दुनिया के सातवें सबसे बड़े बैंक HSBC में आपका स्वागत है। बेशक, वर्तमान में आप जो पृष्ठ पढ़ रहे हैं, वह hsbc.com पर नहीं है, बल्कि jameshfisher.com पर स्थित है। उसी समय, यदि आप मोबाइल उपकरणों के लिए Chrome के साथ इस पृष्ठ पर जाते हैं और थोड़ा नीचे स्क्रॉल करते हैं, तो पृष्ठ hsbc.com से पता बार को सबसे अधिक प्रदर्शित करेगा:
( मूल पृष्ठ का लिंक )



क्रोम के मोबाइल संस्करण में नीचे स्क्रॉल करने पर, ब्राउज़र URL के डिस्प्ले स्ट्रिंग को छुपाता है और अपनी स्क्रीन स्पेस को सीधे वेब पेज पर स्थानांतरित करता है। चूंकि उपयोगकर्ता इस स्थान को एक भरोसेमंद यूआई के साथ पहचानता है, एक फ़िशिंग साइट इसका उपयोग नकली URL - एक इनसेप्शन स्ट्रिंग प्रदर्शित करके किसी अन्य साइट को प्रतिरूपित करने के लिए करती है।

आगे और भी बुरा। आमतौर पर, जब आप स्क्रॉल करते हैं, तो क्रोम URL को फिर से प्रस्तुत करता है। हम उसे नहीं कर सकते हैं! उस समय, जब ब्राउज़र URL लाइन को छुपाता है, हम पृष्ठ की पूरी सामग्री को तथाकथित "स्क्रॉल कैमरा" (अंग्रेजी स्क्रॉल जेल) में स्थानांतरित करते हैं - एक नया तत्व जो "अतिप्रवाह: स्क्रॉल" संपत्ति का उपयोग करता है। अब उपयोगकर्ता सोचता है कि वह पृष्ठ को स्क्रॉल कर रहा है, हालांकि वास्तव में वह "स्क्रॉल कैमरा" के माध्यम से स्क्रॉल कर रहा है। फिल्म "इंसेप्शन" (Eng। Inception) के स्लीपिंग हीरो की तरह, उपयोगकर्ता का मानना ​​है कि वह अपने ब्राउज़र से काम कर रहा है, हालांकि वास्तव में वह ब्राउज़र के अंदर ब्राउज़र में है।

वीडियो:


क्या वर्णित तंत्र एक गंभीर सुरक्षा समस्या है? सच में, यहां तक ​​कि मैं, इंसेप्शन स्ट्रिंग का निर्माता, गलती से इस ट्रिक के लिए गिर गया ( जाहिर है, मेरे अपने में - लगभग। ट्रांसलेटर )। इस संबंध में, मैं कल्पना कर सकता हूं कि इस तरह से कितने उपयोगकर्ताओं को धोखा दिया जा सकता है, विशेष रूप से - कम तकनीकी रूप से सक्षम और जानकार। पेज लोड होने पर ही उपयोगकर्ता सही URL की जाँच कर सकता है। के बाद वह इसे नीचे फ़्लिप किया - मोक्ष की संभावना इतने सारे नहीं हैं।

प्रस्तुत अवधारणा पर काम करते हुए, मैंने Google Chrome से HSBC वेबसाइट पर एड्रेस बार का स्क्रीनशॉट लिया और उसे इस पृष्ठ पर रखा। पृष्ठ आपके ब्राउज़र को परिभाषित कर सकता है और इसके लिए एक इन्सेप्शन स्ट्रिंग बना सकता है। और भी अधिक प्रयास के साथ, इन्सेप्शन स्ट्रिंग को इंटरैक्टिव बनाया जा सकता है। यदि आप इस पृष्ठ पर उपयोगकर्ता को मूर्ख नहीं बना सकते हैं, तो भी आप फिर से कोशिश कर सकते हैं क्योंकि वह इंसेप्शन लाइन में gmail.com जैसा कुछ दर्ज करता है।

खुद को धोखा देने से कैसे बचाएं? यदि आपको किसी वेब पेज की प्रामाणिकता के बारे में संदेह है, तो केवल URL बार की जांच न करें, बल्कि जिस पृष्ठ पर आप संदेह कर रहे हैं उसे ताज़ा (या फिर से बंद करें और फिर से खोलें) करें।

यदि Google Chrome ब्राउज़र और अन्य लोगों को इसकी सुरक्षा समस्या है, तो मैं इसे कैसे हल कर सकता हूं? स्क्रीन स्पेस बढ़ाने और स्क्रीन पर एक विश्वसनीय क्षेत्र बनाए रखने के बीच एक व्यापार बंद है, जैसे कि स्क्रीन स्पेस के एक छोटे हिस्से को " डेथ लाइन " के बजाय पूरे स्पेस को वेब पेज पर स्थानांतरित करने के लिए। एड्रेस बार को छुपाने के तथ्य को प्रदर्शित करने के लिए क्रोम इस छोटी सी जगह का उपयोग कर सकता है।

इसी तरह के हमले का विवरण फुलस्क्रीन एपीआई पर आधारित एक हमला है । इसके अलावा, एक कस्टम कर्सर अटैक (2016) , जो इस तथ्य के लिए धन्यवाद काम करता है कि क्रोम एक वेब पेज को अपना कर्सर सेट करने की अनुमति देता है, जिसे ब्राउज़र व्यूपोर्ट के बाहर ले जाया जा सकता है।