当前位置：网站首页 > 编程网 > 正文

证明你访问的网站是你想访问的，Safari 真的需要

yuyutoo 2025-05-25 16:23 3 浏览 0 评论

安全研究员在 Safari 上找到了一个新漏洞，能让网站在浏览器的地址栏内将自己伪装成另一个网站 —— 得益于 Safari 地址栏的“智能缩略”功能。

在 Deusen 最近公开的攻击演示（PoC，Proof of Concept）中，他们在已经获取最近更新的 iOS 和 OS X 设备上将一个自建的伪造页面在地址栏里伪装成每日邮报。钓鱼网站或者诈骗者可以借用这种伪装方式骗取用户的账户密码等敏感信息。

根据 arstechnica 的测试，Deusen 提供的 demo 在 iPad 上能够明显感觉到页面加载后会有间断性的自刷新行为，但很多普通用户很可能无法察觉其中的异常。然而，在 OS X 环境中测试则不会有这种刷新“缺陷”存在。

根据 White Hat Security CTO Jeremiah Grossman 的分析，这种攻击方式的原理大致为：代码先指引 Safari 访问希望伪造的网址，当地址栏显示出对方域名后立刻改为加载自己的网站。代码如下：

<script> function f { location="dailymail.co.uk/home/index.htm…"+Math.random; } setInterval("f",10); </script>

这个 bug 曾在今年二月被同一个安全研究员提交至 Internet Explorer。

本文参考了多个信息来源：deusen.co.uk、arstechnica.com

多个setinterval

上一篇：抓狂!TS 组件性能拉胯到崩溃?4 个绝杀技巧逆风翻盘!
下一篇：前端必看!10 个 Vue3 救命技巧，解决你 90% 的开发难题?

相关推荐

12、高阶组件:魔法增幅器——React 19 HOC模式: 一、魔法增幅器的本质"高阶组件是魔法师用咒语叠加的炼金术，"霍格沃茨魔咒研究院院长凝视着发光的增幅器，"通过函数式能量场的嵌套，让基础组件获得预言家日报式的逻辑继承！"...

深入理解nodejs的异步IO与事件模块机制: 一、node为什么要使用异步I/O异步最先诞生于操作系统的底层，在底层系统中，异步通过信号量、消息等方式有广泛的应用。但在大多数高级编程语言中，异步并不多见，这是因为编写异步的程序不符合人习惯的思维逻...

前端时间同步利器:React + useEffect 实现高性能动态时钟: 前言在你奋笔疾敲代码的瞬间，是不是突然一低头，发现时间像偷偷跑路的变量，一眨眼就从上午飘到下午？饭没吃、会没开、工位也快被前端猫霸占了。仿佛你写的不是代码，而是“时间穿梭机”。别慌，咱们今天就来用R...

JavaScript 异步编程指南 - 聊聊 Node.js 中的事件循环: 作者：五月君来源：编程界|事件循环是一种控制应用程序的运行机制，在不同的运行时环境有不同的实现，上一节讲了浏览器中的事件循环，它们有很多相似的地方，也有着各自的特点，本节讨论下Node.js中...

10个Vue开发技巧「实践」: 作者：WahFung转发链接：https://juejin.im/post/5e8a9b1ae51d45470720bdfa路由参数解耦一般在组件内使用路由参数，大多数人会这样做：...

通过番计时器实例学习 React 生命周期函数 componentDidMount: 大家好，今天我们将通过一个实例——番茄计时器，学习下如何使用函数生命周期的一个重要函数componentDidMount()：componentDidMount()，在组件加载完成，render之后...

SRE监控四大黄金指标，任何一个有异常都会是灾难……: 导读...

前端必看!10 个 Vue3 救命技巧，解决你 90% 的开发难题?: 写Vue3项目时，是不是总被数据更新延迟、组件间传值混乱、页面加载缓慢这些问题折磨得头秃？别担心！作为摸爬滚打多年的老前端，今天掏出压箱底的10个实战技巧，从性能优化到复杂逻辑处理，每一个都能...

如何用2 KB代码实现3D赛车游戏?2kPlus Jam大赛了解一下: 选自frankforce作者：Frank机器之心编译参与：王子嘉、GeekAI控制复杂度一直是软件开发的核心问题之一，一代代的计算机从业者纷纷贡献着自己的智慧，试图降低程序的计算复杂度。然而，将一款...

证明你访问的网站是你想访问的，Safari 真的需要: 安全研究员在Safari上找到了一个新漏洞，能让网站在浏览器的地址栏内将自己伪装成另一个网站——得益于Safari地址栏的“智能缩略”功能。在Deusen最近公开的攻击演示（PoC，P...

抓狂!TS 组件性能拉胯到崩溃?4 个绝杀技巧逆风翻盘!: 前端兄弟姐妹们五一假期快乐，咱们谁还没被TypeScript组件的性能问题折磨过？页面加载转圈圈，点击按钮没反应，代码改了一轮又一轮，性能却还是原地踏步，分分钟想砸电脑！别慌，今天这4个绝杀技...

让小球做圆周运动，你有几种办法?: 最近在阅读外国技术文章中无意中发现了一个神奇的CSS属性motion-path，它可以让Dom元素可以按照自定义的路径移动。又想起了很久之前参加校招面试的时候，面试官问了我一个问题“能不能不借助库实现...

前端基础进阶(十四):深入核心，详解事件循环机制: EventLoopJavaScript的学习零散而庞杂，很多时候我们学到了一些东西，但是却没办法感受到进步！甚至过了不久，就把学到的东西给忘了。为了解决自己的这个困扰，在学习的过程中，我一直在试图寻...

从0搭建一个WebRTC，实现多房间多对多通话，并实现屏幕录制: 这篇文章开始会实现一个一对一WebRTC和多对多的WebRTC，以及基于屏幕共享的录制。本篇会实现信令和前端部分，信令使用fastity来搭建，前端部分使用Vue3来实现。为什么要使用WebRTCWe...

Vue2 开发卡壳?这 10 个实战技巧专治各种不服: 干前端开发的兄弟，谁还没被Vue2折腾过？数据不更新、组件通信乱成麻、性能差到想砸电脑……这些痛点，我都懂！今天直接甩出10个超实用的实战技巧，每一个都是从项目“血坑”里爬出来总结的，专...

取消回复欢迎你发表评论:

一周热门

最近发表

首页
收录
顶部