Lielākā daļa no jums apzinās Pikšķerēšana, kur tiek uzsākts krāpniecisks process nolūkā iegūt konfidenciālu informāciju, piemēram, paroles un kredītkartes datus, iepazīstinot sevi ar likumīgu organizāciju. Bet ko tad, ja jūs apmeklējat citu cilni, ja esat likumīgā lapā un lapā, kuru meklējāt, maina krāpniecisku lapu? To sauc Tabnabbing!
Kā darbojas Tabnabbing
- Jūs virzāt uz īstu vietni.
- Atverat citu cilni un pārlūkojat citu vietni.
- Pēc brīža jūs atgriežaties pirmajā cilnē.
- Jums tiek uzņemti jauni pieteikšanās dati, varbūt jūsu Gmail kontā.
- Jūs atkal piesakāties, neapšaubot, ka lapa, ieskaitot favicon, patiešām ir mainījusies aiz muguras!
To visu var paveikt tikai ar nedaudz JavaScript, kas notiek uzreiz. Kad lietotājs skenē daudzas atvērtās cilnes, favicon un title darbojas kā spēcīga vizuālā cue atmiņa, ir pielāgojama un sapelcējama, un lietotājs, visticamāk, vienkārši domās, ka viņi atvēruši Gmail cilni. Kad viņi noklikšķina uz ciļņu viltus Gmail, viņi redzēs standarta Gmail pieteikšanās lapu, pieņemsim, ka viņi ir izrakstījuši atteikšanos un iesniegs savus akreditācijas datus, lai pieteiktos.
Uzbrukums ir saistīts ar uztverto cilpu nemainību. Pēc tam, kad lietotājs ir ievadījis savu pieteikšanās informāciju un esat to nosūtījis atpakaļ uz savu serveri, jūs novirzāt tos uz Gmail. Tā kā viņi nekad netika izrakstījušies pirmajā vietā, tas parādīsies tā, it kā pieteikšanās tiktu veiksmīga.
Jūs apmeklējat tīmekļa lapu, pārejiet uz citu cilni un aiz muguras, jūsu pirmā lapa būs mainījusies!
Reverss tabnabbing
Reverss Tabnabbing notiek uzbrucējs izmanto window.opener.location.assign () lai aizstātu fona ciļņu ar ļaunprātīgu dokumentu. Protams, šī darbība arī maina fona ciļņu adreses joslu, taču uzbrucējs cer, ka cietušais būs mazāk uzmanīgs un viņš, atgriežoties fona uzdevumā, akli ievadīs savu paroli vai citu konfidenciālu informāciju, saka Google.
Izeja būtu, ja visiem vietņu īpašniekiem būtu jāizmanto šāds tags:
target='_blank' rel='noopener noreferrer'
Lai novērstu šo neaizsargātību, WordPress tagad tagad ir automātiski sākusi pievienot noopener noreferrer tagus.
Tagad aplūkojiet Spīru pikšķerēšanu, vaļu medības un Vishing un Smigs veida izkrāpšanu.
