Safari、Edge 浏览器曝严重漏洞：真 URL 地址假网页

要问哪种浏览器最安全？使用的人最多？想必很多开发者的首选就是 Chrome。其次据网站通讯流量监测机构 StatCounter 统计，全球范围内紧随占据浏览器市场份额半壁江山 Chrome 的要非苹果 Safari 莫属了，比例达 14.49% 。但就在近日，使用率较高的 Safari 以及微软自带的 Edge 浏览器被爆出严重的漏洞，在不改变原有 URL 地址的情况下，攻击者可更改页面的内容，从而进行钓鱼攻击。

据外媒 BLEEPINGCOMPUTER 报道，安全研究人员 Rafay Baloch 发现苹果的 Safari 和微软的 Edge Web 浏览器中存在严重漏洞，攻击者利用该漏洞可控制地址栏中显示的内容，在不改变原有合法的 URL 地址情况下，快速将页面内的代码转换成恶意代码，从而在普通用户填写账号或密码时收集用户隐私，导致网络钓鱼攻击事件发生。

火眼金睛难辨的漏洞

该漏洞现在被跟踪序列号为 CVE-2018-8383，其导致的严重性目前尚未可知，但攻击者通过利用它，欺骗受害者访问特制的网页，整个过程很容易实现。

“在从不存在的端口请求数据时，地址会被保留。因此由于不存在的端口请求的资源上与 setInterval 函数引起的延迟相结合，从而触发地址栏欺骗。” Rafay Baloch 在技术报告中解释道。

通过延迟地址栏上的更新，攻击者可以模拟任何网页，而受害者可以在地址栏中看到合法的域名，并填写所有身份验证标记。

对此，外媒 BleepingComputer 使用研究人员设置的概念验证（PoC）页面测试 iOS 上的错误。该页面旨在加载来自 sh3ifu.com 上托管的 gmail.com 的内容，证实了它们都可以无缝衔接。

虽然有些元素可能会败露出端倪，但就普通用户而言，即使明感也会容易被愚弄。 例如，上图中的页面加载轮和条都是可见的，表示不完整的过程。

但是，由于背景元素在加载阶段具有较低的优先级，因此许多网站都会发生这种情况。 用户不会读取任何内容并继续登录。

苹果 Safari 漏洞演示

由此， Rafay Baloch 也提出一个解决该漏洞的办法，即在一个网页完完全全被载入时，浏览器应该让网址栏的信息进行再一次更新。

Edge 已修复，Safari 仍不安全

目前，安全研究员 Rafay Baloch 已向两家浏览器的制造商通提交了该漏洞，其中微软在 8 月 14 日更新了补丁，而苹果公司在 6 月 2 日就收到了有关该漏洞的报告，且距离今天已过去了三个月的时间，至今并未得到是否已经修补了漏洞的消息。按照行业惯例，在向相关的科技公司报告安全漏洞 90 天之后，Baloch 可正式对外公开漏洞信息，不过他还在等待苹果公司对 Safari 浏览器的漏洞进行修改的结果，目前仍没有公布有关发起攻击的概念验证代码。

参考：

https://www.bleepingcomputer.com/news/security/apples-safari-falls-for-new-address-bar-spoofing-trick/

_“征稿啦_”

CSDN 公众号秉持着「与千万技术人共成长」理念，不仅以「极客头条」、「畅言」栏目在第一时间以技术人的独特视角描述技术人关心的行业焦点事件，更有「技术头条」专栏，深度解读行业内的热门技术与场景应用，让所有的开发者紧跟技术潮流，保持警醒的技术嗅觉，对行业趋势、技术有更为全面的认知。

如果你有优质的文章，或是行业热点事件、技术趋势的真知灼见，或是深度的应用实践、场景方案等的新见解，欢迎联系 CSDN 投稿，联系方式：微信（guorui_1118，请备注投稿+姓名+公司职位），邮箱（[email protected]）。