UC浏览器中未修补的URL欺骗漏洞使600M用户暴露于网络钓鱼攻击

时间 : 2019-05-09 编辑 : 江西快三基本走势图 分享 : 

江西快三基本走势图 www.bnefk.cn 最新版本的安卓应用程序UC浏览器和UC浏览器迷你版已超过6亿次安装,安全研究员Arif Khan解释了这个漏洞,并向应用程序的安全团队报告了这攻击  。

URL欺骗攻击基于攻击者更改Web浏览器地址栏中显示的URL的能力,以诱使其目标认为加载的网站由受信任方控制。但是,就像Khan在用于Android的UC浏览器应用程序中发现的地址栏欺骗漏洞一样,该网站实际上是由攻击背后的恶意行为者控制的。

不知情的目标用户可以被引导到他们控制的领域,并将其伪装成备受瞩目的网站,允许潜在的攻击者使用网络钓鱼登录页面窃取受害者的信息,或通过恶意广告活动将恶意软件放置在他们的计算机上。


URL欺骗问题

“URL地址栏欺骗是最糟糕的网络钓鱼攻击。因为这是识别用户访问网站的唯一方法?!盞han说。

正如研究人员在其咨询报告中所说,UC浏览器和UC浏览器迷版你使潜在的攻击者可以“伪装他的网络钓鱼域名作为目标网站。例如,域名blogspot.com可以假装成facebook.com ,只需让用户访问www [.] google [.] com [.] blogspot.com [/?q =] www.facebook.com?!?/span>

发生这种情况主要是因为某些移动浏览器使用了错误的正则表达式检查。当用户在Google等搜索引擎上搜索某些内容时,他们正试图通过仅显示搜索字词来增强用户用户体验。Khan说。

1


根据研究人员的说法“基本上,他们只检查用户访问的URL是否以www [.] google [.] com开头,因此攻击者可以利用剥离主机和欺骗URL地址栏来绕过此正则表达式检查?!?/span>

为避免暴露用户,这两个应用程序的开发人员应该省略UX“改进”功能,并在所有情况下显示真实域名“如果他们无法编写好的正则表达式,或者有效?;ご斯δ堋?。

值得一提的是Khan发现“一些旧版本和其他版本的UC浏览器仍然不容易受到攻击,这是否表明是否是在某个时候添加到此浏览器中的新功能导致此问题的,Khan也对此感到疑惑。


UC浏览器URL欺骗报告被忽略

Khan展示了潜在攻击者如何利用地址栏欺骗漏洞将潜在受害者引向钓鱼网站或恶意广告登陆页面。

1

漏洞披露报告被忽略

该问题在UC浏览器12.11.2.1184和UC 浏览器迷你12.10.1.1192版本中被发现,在本出版物发布时,应用程序的开发人员UCWeb尚未发布补丁,即使该问题由Khan负责任地披露UCWeb安全团队于2019年4月30日。

此外,在UCWeb的系统中注册披露后,公司的安全团队为报告分配了“忽略”状态。在3月下旬,这两款Android浏览器还通过无?;ず筒话踩那来铀亲约旱姆衿飨略睾桶沧岸钔獾哪??,将他们的用户暴露给中间人(MiTM)攻击,完全绕过Google Play商店服务器通过Doctor Web。数以百万计的Android用户面临高风险,黑客可以通过中间人攻击劫持Android设备。

不仅如此桌面UC浏览器应用程序也容易受到MiTM攻击,这可能允许攻击者在用户的计算机上下载恶意扩展。目前UCWeb还未对此此漏洞发出声明。


来源:https://www.bleepingcomputer.com/news/security/uc-browser-for-android-vulnerable-to-url-spoofing-attacks/

  • 哈萨克斯坦流行性脑膜炎致13死 中使馆提醒防范 2019-06-25
  • 菊花-热门标签-华商生活 2019-06-25
  • 坐观光巴士 小小代言人带你游广州 2019-06-24
  • 《不可思议的妈妈》第二季上线 蔡少芬、胡可、何洁比拼花式育儿 2019-06-18
  • 山西:鼓励可再生能源电力企业参与市场交易 2019-04-10
  • 报道新闻记录历史 70载人民日报见证中国发展大事 2019-03-14
  • 周蓬安.blog的博客—强国博客—人民网 2019-03-11
  • 漫威英雄角色全套海报 寡姐黄蜂女身材超棒 2019-03-11
  • 领导人与人民日报,一字一句总关情 2019-03-11
  • 苹果 iPhone 7(全网通)图片 2019-03-10
  • 国内首个室内空气自然生态再造系统研发获成功 2018-07-14
  • 一句嘱咐 涡阳一对父子接力守墓74载 只求烈士不孤单 2018-07-13
  • 从稳中向好发展态势看我国经济良好前景 2018-07-13
  • 山西拨付2.7亿元资金支持全省七大河流生态修复治理 2018-07-12
  • 历时16年,12名四川专家踏遍川陕甘寻大熊猫野生种群复壮密码 2018-07-11
  • 广东36选7结果 甘肃十一选五开结果 辽宁队cba赛程表 上海时时乐开奖现场 综合足球指数比较 《曾道人一句爆平特》 什么七星彩投注网靠谱 福彩青海快三开奖 吉林时时彩连线走势图 五分彩投注技巧 任选9场计算器 山西十一选五开奖号码 山东11选5免费助赢软件 福建31选7开奖结果新浪 安徽快3讨论