Разработчики мобильных браузеров уже давно пытаются стереть различия между сайтами и приложениями (да, я смотрю на тебя, PWA), и у них это вполне неплохо получается. Но всё таки остался ещё один концепт, который делает веб вебом и не даёт реализовать максимально сходный с нативным приложением пользовательский опыт — это URL в адресной строке браузера. Предлагаю узнать, как с этой проблемой справляется, скажем, китайский CM Browser.
Открываем Хабр, и видим, что по умолчанию в адресной строке отображается title страницы.
А чтобы увидеть URL, нужно тапнуть по адресной строке.
В принципе, понятно, как всё это работает. Теперь вопрос — это настоящий bitcoin.org, или нет? Даже зелёный замочек HTTPS в наличии.
На самом деле, этот сайт отобразил написанный мной небольшой скрипт (поменяйте параметр url, как ни странно, в URL и проверьте работу на других сайтах). Исходный код скрипта можно найти на GitHub.
Таким образом, мы получаем достаточно простую в реализации и эффективную (особенно в сочетании с омографичным доменом) возможность для фишинга как минимум 50 миллионов пользователей. Надеюсь, Cheetah Mobile и родительская Kingsoft как можно скорее обратят внимание на эту проблему.
Комментарии (9)
Tokijirichirink
26.07.2018 06:27В прошлом году на UISG был отличный доклад на эту тему:
13.uisgcon.org/pdf/uisgcon13-alex-starov+modern-scam-campaigns.pdf
Смотреть с 33-го слайда.
Общий вывод: 98% баузеров уязвимы хотя бы к одному из вариантов подобного фишинга
KosBeg
26.07.2018 06:28+1Не знаю чем это грозит конкретно этому сайту, но чуть напрягает — https://cheeting.now.sh/?url=javascript:alert('XSS')
agulitsky Автор
26.07.2018 06:32+1Целью была быстрая демонстрация проблемы, поэтому скрипт набросан за 15 минут в свободное время. Так что такое вполне может быть.
unibasil
26.07.2018 06:37-2У меня в мобильном Chrome в адресной строке отображается адрес. Она для этого и предназначена, мне кажется. ;)
UselessFire
26.07.2018 09:51+1Речь про CM Browser от Cheetah Mobile
unibasil
27.07.2018 08:04О, пардон, не обратил внимания. Ну, для команды разработчиков, которые позиционируют свой браузер как «Самый безопасный браузер и загрузчик видео с Ad Blocker и лучшим антивирусом», это действительно epic fail.
g0rd1as
А вы им заранее написали об этом? Принято вроде сначала сообщать производителю, а уж если они дыру не латают — тогда сообщать всей честнОй общественности. :)
Theodor
Это же не баг, а триумф эффективного дизайна над безопасностью.