搜索

[14171] 2019-05-30_隐私浏览器DuckDuckGo爆出漏洞，可导致URL欺骗攻击

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2019-05-30_隐私浏览器DuckDuckGo爆出漏洞，可导致URL欺骗攻击 隐 私 浏 览 器 D u c k D u c k G o 爆 出 漏 洞 ， 可 导 致 U R L 欺 骗 攻 击 K a r u n e s h 9 1   F r e e B u f   2 0 1 9 - 0 5 - 3 0 A n d r o i d   5 . 2 6 . 0 系 统 中 ， 开 源 的 私 人 浏 览 器 系 统 中 ， 开 源 的 私 人 浏 览 器 D u c k D u c k G o 被 发 现 存 在 漏 洞 可 导 致 攻 击 ， 攻 击 者 可 通 过 该 漏 洞 利 用 被 发 现 存 在 漏 洞 可 导 致 攻 击 ， 攻 击 者 可 通 过 该 漏 洞 利 用 U R L 欺 骗 的 方 式 发 动 攻 击 ， 目 前 该 浏 览 器 的 安 装 量 已 超 过 欺 骗 的 方 式 发 动 攻 击 ， 目 前 该 浏 览 器 的 安 装 量 已 超 过 5 0 0 万 。 万 。 安 全 研 究 员 D h i r a j   M i s h r a 将 这 个 漏 洞 编 号 为 C V E - 2 0 1 9 - 1 2 3 2 9 ， 并 通 过 H a c k O n e 平 台 的 漏 洞 赏 金 计 划 向 该 应 用 的 安 全 团 队 通 知 漏 洞 的 存 在 。 研 究 人 员 表 示 ， 他 通 过 特 定 的 J a v a S c r i p t 页 面 欺 骗 了 D u c k D u c k G o 浏 览 器 的 o m n i b a r 完 成 了 漏 洞 验 证 ， 该 页 面 使 用 s e t I n t e r v a l 函 数 ， 使 其 每 1 0 到 5 0 毫 秒 便 可 重 新 加 载 一 个 U R L 。 虽 然 真 正 的 D u c k D u c k G o . c o m 网 站 会 在 每 5 0 毫 秒 自 动 加 载 一 次 ， 但 其 内 部 的 H T M L 会 被 修 改 为 完 全 不 同 的 内 容 用 于 甄 别 。 代 码 证 明 研 究 人 员 表 示 ， 这 个 漏 洞 是 在 2 0 1 8 年 1 0 月 3 1 日 通 过 H a c k O n e 平 台 提 交 给 该 浏 览 器 的 安 全 团 队 的 ， 最 初 其 威 胁 级 别 是 高 危 ， 直 至 2 0 1 9 年 5 月 2 7 日 ， 才 得 出 最 后 的 结 论 ： 这 个 漏 洞 的 威 胁 级 别 并 不 算 高 危 。 潜 在 的 攻 击 者 可 以 通 过 更 改 浏 览 器 地 址 栏 中 显 示 的 U R L 来 欺 骗 用 户 ， 使 他 们 认 为 自 己 正 在 浏 览 安 全 的 网 页 ， 从 而 执 行 U R L 欺 骗 攻 击 。
D u c k D u c k G o   o m n i b a r 的 P o C
因 此 ， 不 知 情 的 用 户 可 能 会 被 重 定 向 至 各 种 由 攻 击 者 伪 造 的 网 站 页 面 ， 而 这 些 网 站 可 能 会 是 网 络 钓 鱼 、 恶 意 广 告 ， 又 或 者 是 恶 意 软 件 植 入 ， 其 最 终 的 目 标 都 会 是 目 标 用 户 的 数 据 信 息 。 在 5 月 初 ， 安 全 研 究 员 A r i f   K h a n 还 发 现 U C 浏 览 器 和 U C 浏 览 器 m i n i 版 也 存 在 类 似 的 U R L 欺 骗 攻 击 漏 洞 ， 而 这 两 款 A p p 共 计 已 安 装 了 6 亿 多 次 。 A r i f   K h a n 表 示 ， U R L 欺 骗 攻 击 是 最 恼 人 的 钓 鱼 攻 击 ， 因 为 这 原 本 应 当 是 用 户 识 别 网 站 的 唯 一 方 法 。 * 参 考 来 源 ： b l e e p i n g c o m p u t e r ， K a r u n e s h 9 1 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理