前段时间我们的漏洞预警台也曾转载过freebuf上一篇《链接地址中的target=”_blank”属性,为钓鱼攻击打开了大门》的文章,让我们来回顾一下这个漏洞:
当用户点击了某个网站中带有target=”_blank”属性的超链接后,浏览器会单独新建一个标签页来显示该链接所指向的内容。但是请注意,在这一瞬间,浏览器会允许新建的标签页通过一个名为“window.opener”的浏览器API来与之前的网页进行短暂通信。
此时,攻击者就可以将恶意代码嵌入在新打开的网站中,然后检测用户是从哪一个网站跳转过来的,最后再利用window.opener接口来迫使原始网页打开一个新的URL地址。
比如说,如果用户点击了Facebook网站中一个带有target=”_blank”属性的链接,那么攻击者就可以利用一个伪造的Facebook页面来替换原始的Facebook网页,然后要求用户重新输入用户名和密码。这样一来,攻击者便成功获取到了目标用户的凭证数据。
那么今天居正就以这个作为专题,给大家整理了一些相关文章
你相信吗?仅仅是因为你点击了某个你一只在访问网站里的一张图片,导致你的用户名、密码泄漏,甚至电脑被植入病毒。这一切可不仅仅是危言耸听。
以为不点开“新建标签页”的图片链接就安全了?别急!现在是时候和我一起追捕漏网之鱼了。让我们来看看另一种情况下的钓鱼策略——源窗口打开图片钓鱼。
如果你在链接上使用
target="_blank"
属性,并且不加上rel="noopener"
属性,那么你就让用户暴露在一个非常简单的钓鱼攻击之下。
除此之外,知乎上有一篇关于如何使用此标签的问答。如果你是个前端开发者,并且是那种“热衷于target=_blank”的人,建议好好看一看这篇文章,对这个标签有一个正确的认识:
知乎:《应怎样看待 target=”_blank” 的使用?》
文章都很精品,这里不方便全文转载,大家点开链接看吧。居正以前甚至都不知道HTML5的这个特性呢!共同学习进步吧~
没有评论
我不爱用target属性,用也是用target=”_self”