谈 target=‘_blank’的安全问题

时间: 2018-11-12阅读: 1404标签: 安全

当我们在网站中引入外部链接的时候往往使用的是

<a href="" target="_blank"></a>

大家都喜欢target="_blank", 因为新页面打开不影响原来的页面。但是这个存在安全问题, 由target="_blank"打开的页面, 可以通过window.opener访问原来的窗口。


例如:

window.opener.location = "http://..."

便可以简单的将网页导航到其他网站, 这就存在很多的安全隐患了, 比如钓鱼。
这种问题解决起来也很简单, 在链接中加入rel="noreferrer noopener"属性就可以了。

<a href="" target="_blank" rel="noreferrer noopener"></a>


CSDN 中的 target=”_blank”

我查看了几个可以发布文章的平台, 例如掘金、思否、知乎 还有CSDN, 果不其然CSDN是唯一有这个问题的。
CSDN总是慢一拍, 一个技术网站却总是显得那么不专业, 就像当初的数据库明文存储密码


CSDN 漏洞的利用

钓鱼

这是最先想到的, 如果有人仿做一个登录页面, 然后发布一片文章, 插入一条带有漏洞的链接, 当读者查看完, 返回时, 看到一个登录页面
读者可能会奇怪, 但是我相信还是会有很多人会中这个陷阱
输入密码后, 登录的钓鱼网站只需返回原来的页面即可, 因为Cookie的存在就好像真的登录了一样, 此时密码已经不知不觉泄露了


骚操作 自动关注

这里不得不再吐槽一下CSDN, 关注用户的api不仅简单, 而且是get post请求均可的, 这就给了我们很大的操作空间了
我们只需利用window.opener.location导航到关注api, 再返回回去即可, 读者在不知不觉中就进行了关注
一小段代码的例子:

window.opener.location = "https://my.csdn.net/index.php/follow/do_follow?..."
setTimeout(()=>{
    window.opener.location = "https://blog.csdn.net/Dogfights/article/details/..."
},1000)


来源:https://laboo.top/2018/11/11/html/


站长推荐

1.云服务推荐: 国内主流云服务商,各类云产品的最新活动,优惠券领取。地址:阿里云腾讯云华为云

链接: http://www.fly63.com/article/detial/1326

常见Web安全问题攻防解析

XSS (Cross Site Script),跨站脚本攻击,因缩写和 CSS (Cascading Style Sheets) 重叠,所以叫 XSS。XSS 的原理是恶意攻击者往 Web 页面里插入恶意可执行网页脚本代码,当用户浏览该页之时,嵌入其中 Web 里面的脚本代码会被执行

JavaScript防流量劫持【前端安全】

在网页开发的访问过程中,http是我们主要的访问协议。我们知道http是一种无状态的连接。即没有验证通讯双方的身份,也没有验证信息的完整性,所以很容易受到篡改

Web安全:你必须知道的“Cookie安全”

http是无状态的请求响应。每次的请求响应之后,连接会立即断开或延时断开(保持一定的连接有效期)。断开后,下一次请求再重新建立。在http连接时,通过cookie进行会话跟踪,第一次响应时设置的Cookie在随后的每次请求中都会发送出去

第三方CSS安全吗?

第三方内容在其沙箱中具有很高的影响力。 虽然图像或沙盒iframe有着非常小的沙箱,但脚本和样式的作用范围却影响你的整个页面,甚至是整个站点。如果你担心用户会欺骗你的网站去加载第三方资源,可以使用CSP(内容安全策略)保证安全

利用HTML5标签进行DDoS攻击的新方法揭秘

在此次攻击活动中,DDoS攻击请求峰值达到了7500次请求/秒,在大概4个小时内攻击者总共利用了4000多个不同的用户向攻击目标发送了超过7000万次恶意请求。Imperva的研究人员在其发布的安全分析报告中指出

常见的网站安全问题

在网站正式上线之前,你有没有想过自己的网站是否安全吗?尽管你的网站用了很多高大上的技术,但是如果网站的安全性不足,无法保护网站的数据,甚至成为恶意程序的寄生温床,那前面堆砌了再多的美好也都成了枉然

如何保持JavaScript应用程序的安全?

JavaScript是一个高度依赖第三方库的生态系统。因此,确保JavaScript的安全需要遵循最佳实践来减少攻击。但是,我们如何保持JavaScript应用程序的安全?让我们来了解一下。

什么是SSL证书?SSL证书的好处

互联网发展至今,已经让人们对它产生了很大的依赖,很多交易都是在网上进行的。然而,网络攻击事件也在与日俱增,网络安全已经成为一件大事,这就不得不用到SSL证书了。

浅谈前端安全

将Web安全问题按照发生的区域来分类,发生在浏览器、Web页面中的安全问题就是前端安全问题。同源:URL由协议、域名、端口和路径组成,如果两个URL的协议、域名和端口相同,则表示他们同源。

Web 安全漏洞之文件上传

文件上传漏洞是指网络攻击者上传了一个可执行的文件到服务器上,当开发者没有对该文件进行合理的校验及处理的时候,很有可能让程序执行这个上传文件导致安全漏洞

点击更多...

内容以共享、参考、研究为目的,不存在任何商业目的。其版权属原作者所有,如有侵权或违规,请与小编联系!情况属实本人将予以删除!