Safari地址栏欺骗bug 可用于网络钓鱼攻击
发布于 2015-05-18 23:31:11 | 170 次阅读 | 评论: 0 | 来源: 网友投递
Safari 苹果浏览器
Safari，是苹果计算机的最新操作系统Mac OS X中的浏览器，使用了KDE的KHTML作为浏览器的运算核心。Safari在2003年1月7日首度发行测试版，并成为Mac OS X v10.3与之后的默认浏览器，也是iPhone与IPAD和iPod touch的指定浏览器。
感谢roustar31的投递
你能想象浏览器显示的地址实际上并不是你访问的地址吗？比如你访问www.jd.com实际上显示的是www.diaoyu.com。安全研究人员展示了Safari浏览器的一个新的地址栏欺骗利用Bug，该Bug可以让Safari浏览器浏览一个完全不同于地址栏显示的网站。通过此Bug可以进行网络钓鱼或者恶意软件植入攻击。
Safari的地址栏欺骗BUG
CTO网络安全公司的白帽子Jeremiah Grossman最近发现了Safari浏览器的这个地址栏欺骗Bug，包括OS X和iOS上的Safari浏览器均受到影响。恶意攻击者可利用此Bug来欺骗Safari用户认为浏览器浏览的是正规网站，而不是网络钓鱼站点，此危害相当严重，一旦用户输入身份信息，可导致财产损失和个人隐私泄漏。
Bug演示代码并不完美，外媒的编辑在iPad mini上进行测试，发现地址栏进行了重新加载，对于精明和安全性比较高的用户可能会发现问题。尽管如此，许多用户将肯定无法发现这种不同寻常的刷新。在MacBook Pro上进行的测试则完全感觉不到刷新行为。
下明是用于演示证明漏洞的代码：
<script>
function f()
{
location="dailymail.co.uk/home/index.htm…"+Math.random();
}
setInterval("f()",10);
</script>
编译自：arstechnica