两位应用安全专家发现了一个著名的浏览器攻击技术。这种技术比以前思想的影响更为深远。专家还称使用这种技术的攻击者可以强制用户点击他们选择的任何内容。
WhiteHat Security Inc.的首席技术官Jeremiah Grossman说:“在任何地方的任何网页的按钮都可以这么做。” Jeremiah Grossman和Robert Hansen最近确定了这种技术的严重。他们两人原计划本周在纽约的开放Web软件安全计划(Open Web Application Security Project,OWASP)大会上围绕他们的发现发表讲话,但是在把他们的研究向Adobe Systems Inc.演示后,就主动取消了这次讲话。Adobe Systems Inc.对这种攻击的可能对Adobe用户的影响非常关注。
这种技术背后的问题被Grossman和Hansen称为clickjacking。这个问题已经被Web应用安全团体了解了一段时间了。它不是一个JavaScript的问题,但是却包含浏览器自身功能的一些方式。这种技术可以使攻击者指定用户点击的连接。尽管如此,研究人员发现攻击背后的问题要比安全专家们想到的还要广泛。Grossman和Hansen和Adobe在这个问题合作,而且还和微软和Mozilla一起讲明这种攻击如何影响浏览器。但是,出现了一种共识,就是它不太容易解决。
Grossman说:“这个问题已经知道很久了,Web安全团体都知道。但是它的潜在影响一直都被低估了。浏览器厂商知道这个问题。但是他们不知道如何或者是否可以解决这个文。它不是一个简单的补丁。它可能是浏览器安全模式的重新架构。这不只是Adobe的一个缺陷,它会影响到每一个人。”
Hansen是一位独立的安全研究人员。Grossman说他和Hansen希望一旦Adobey有时间解决软件,他们就可以马上发布这种攻击的细节以及概念证明代码。Grossman没有说明那些Adobe的应用会受到影响。
虽然他们决定本周不在OWASP上发表他们的原定讲话,但是Grossman和Hansen把这个问题分开来讲了,省略了很多他们原计划要讲的细节,而且仍然想要把这个问题的严重性讲清楚。
Grossman说:“听众们了解到这是个不好的事情,但是我们没有谈到具体细节。这将在以后谈到。厂商觉得他们需要更多的时间。”
研究人员建议关注这个问题的用户暂时使用Lynx。Lynx是文本格式的浏览器。
我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。
我原创,你原创,我们的内容世界才会更加精彩!
【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】
微信公众号
![TechTarget微信公众号二维码](/wp-content/uploads/res/images/spriteimg/ttweixin.jpg)
TechTarget
官方微博
![TechTarget中国官方微博二维码](/wp-content/uploads/res/images/spriteimg/ttweibo.jpg)
TechTarget中国
翻译
相关推荐
-
罗少辉:电子邮件成为当下网络攻击的主要传播途径
攻击者越来越难发现和利用零日漏洞,这迫使他们转将视线重新放回到常用攻击途径——电子邮件就是其中之一,并且成为2016年最常见的攻击手段。
-
美政府:考虑对俄罗斯攻击者采取措施
长期以来,美政府一直怀疑俄罗斯政府对其政治组织进行各种网络攻击,而现在美国情报机构正式指责俄罗斯攻击者潜在的篡改选票行为……
-
2012年浏览器安全四大发展趋势
日前发布的《2011年浏览器安全及发展趋势报告》指出,2012年系统级防护将被浏览器行业充分利用,浏览器安全发展或将加速行业洗牌。
-
应该何时摆脱技术?
越来越多的IT职业人员自愿离开技术或者某些由于经济原因离开技术,他们必须找到新的挣钱办法来偿还贷款。那么,应该何时离开技术寻找自己新的事业呢?