Yandex Tabnabbing को भेद्यता नहीं मानता है

वर्जना क्या है?

इस बारे में कई लेख पहले ही लिखे जा चुके हैं, उदाहरण के लिए, यह OWASP पर।

संक्षेप में, लक्ष्य = "_ रिक्त" के साथ खुले एक बच्चे टैब के माध्यम से ब्राउज़र टैब को नियंत्रित करें। किसी बाहरी साइट को लक्ष्य = "_ रिक्त" के लिए एक लिंक सेट करके, साइट का उपयोग window.opener तक होगा, जिसके माध्यम से आप उस टैब का स्थान बदल सकते हैं, जहां से लिंक जाता है। सभी प्रमुख सेवाएं जो आपको लिंक एम्बेड करने की अनुमति देती हैं, rel = "noopener" या एक प्रॉक्सी पृष्ठ जोड़कर उपयोगकर्ता को इस व्यवहार से बचाती हैं ।

हां, यहां तक ​​कि जब यह यैंडेक्स में था। मेल - इसे मान्यता दी गई और बंद कर दिया गया।

लेकिन टर्बो पेज में नहीं

मैंने एक रिपोर्ट भेजी कि टर्बो पेज में डाले गए सभी लिंक कंटेंट और मेन्यू में सारणीबद्ध करने के लिए असुरक्षित हैं। साइट स्वामी वहां कोई भी लिंक डाल सकता है। और सबसे महत्वपूर्ण बात, टर्बो पेज मुख्य रूप से मोबाइल ग्राहकों को दिखाए जाते हैं, जो इस भेद्यता के माध्यम से धोखाधड़ी करने के लिए अधिक प्रवण होते हैं, क्योंकि अक्सर अतिसूक्ष्म इंटरफ़ेस के कारण url पृष्ठ नहीं देखते हैं।

एक कमजोर मेनू लिंक का एक उदाहरण:



मुझे यह उत्तर क्या मिला (दो महीने बाद और ट्विटर पर उत्तर देने का अनुरोध):

और यह बुरा क्यों है?

यद्यपि यह व्यवहार विनिर्देश में वर्णित है, यह उपयोगकर्ता के लिए बहुत स्पष्ट नहीं है। उपयोगकर्ता यह उम्मीद नहीं करता है कि जिस टैब पर उसने क्लिक किया है वह बदल सकता है।

सबसे अच्छा, टर्बो पेज को एक विशाल पोर्न बैनर द्वारा बदल दिया जाएगा, और सबसे खराब, उदाहरण के लिए, लॉगिन पासवर्ड फॉर्म के साथ टर्बो पेज की एक प्रति। फ़िशिंग के लिए विशाल गुंजाइश!

दुनिया के बाकी हिस्सों की तरह, मैं इसे एक भेद्यता मानता हूं।

आपको क्या लगता है?