Gwe-rwydo trwy ryngwyneb porwr efelychiedig mewn ffenestr naid

Mae gwybodaeth wedi'i chyhoeddi am ddull gwe-rwydo sy'n caniatáu i'r defnyddiwr greu'r rhith o weithio gyda ffurf ddilys o ddilysu trwy ail-greu rhyngwyneb y porwr mewn ardal a ddangosir dros y ffenestr gyfredol gan ddefnyddio iframe. Pe bai ymosodwyr cynharach wedi ceisio twyllo'r defnyddiwr trwy gofrestru parthau tebyg o ran sillafu neu drin paramedrau yn yr URL, yna gan ddefnyddio'r dull arfaethedig gan ddefnyddio HTML a CSS, mae elfennau sy'n ailadrodd rhyngwyneb y porwr yn cael eu tynnu ar frig y ffenestr naid, gan gynnwys y teitl gyda botymau rheoli ffenestr a bar cyfeiriad A sy'n cynnwys cyfeiriad nad yw'n cyfateb i gyfeiriad gwirioneddol y cynnwys.

O ystyried bod llawer o wefannau'n defnyddio ffurflenni dilysu trwy wasanaethau trydydd parti sy'n cefnogi'r protocol OAuth, a bod y ffurflenni hyn yn cael eu harddangos mewn ffenestr ar wahân, gall cynhyrchu rhyngwyneb porwr ffug gamarwain hyd yn oed defnyddiwr profiadol a sylwgar. Gellir defnyddio'r dull arfaethedig, er enghraifft, ar safleoedd sydd wedi'u hacio neu'n anhaeddiannol i gasglu data cyfrinair defnyddwyr.

Исследователь, обративший внимание на проблему, опубликовал готовый набор макетов, симулирующих интерфейс Chrome в тёмных и светлых темах оформления для macOS и Windows. Всплывающее окно формируется при помощи iframe, выводимого поверх контента. Для придания реалистичности при помощи JavaScript привязываются обработчики, позволяющие перемещать фиктивное окно и нажимать на кнопки управления окном.

Ffynhonnell: opennet.ru