HTML5安全風(fēng)險(xiǎn)之API攻擊詳解
我要評論HTML5里有許多協(xié)議、模式和API，可能成為攻擊者的攻擊途徑。
一、registerProtocolHandler：信息泄漏
HTML5允許某些協(xié)議和schema注冊為新的特性。例如下面的語句可以注冊一個(gè)email handler。
它會(huì)將一個(gè)惡意網(wǎng)站處理器關(guān)聯(lián)到mailto這個(gè)協(xié)議上，所以它在某些情況下的濫用會(huì)導(dǎo)致用戶信息泄漏。
二、文件API：竊取文件
HTML5另外一些API從安全角度來看很有意思，它們還能混合起來使用。
例如文件API允許瀏覽器訪問本地文件，攻擊者可以將它與點(diǎn)擊劫持和其他攻擊混合起來獲得用戶本地的文件。比如騙取你從本地拖放文件到頁面里，這種方法在劫持攻擊一文中有較詳細(xì)的闡述。
三、歷史API：隱藏XSS URL
利用HTML5歷史API的pushState，可以隱藏瀏覽器地址欄的攻擊URL。例如我在瀏覽器地址欄輸入
這個(gè)地址，用戶將會(huì)僅僅只看到http://test.baidu.com/。
這個(gè)問題和現(xiàn)在流行的短網(wǎng)址技術(shù)結(jié)合起來，具有更大的隱蔽性。想象一下我們在微博上看到一個(gè)短網(wǎng)址，不會(huì)有任何懷疑就會(huì)點(diǎn)擊這個(gè)地址查看內(nèi)容，而最后看到的地址也是相當(dāng)正常的，但是在這個(gè)過程中用戶的信息和資料就不知不覺被盜取了。
短URL結(jié)合歷史API的攻擊
四、Web Notifications：盜取數(shù)據(jù)
Web Notifications讓我們在瀏覽器中能夠接收推送的消息通知，但是它有可能會(huì)被攻擊者利用來構(gòu)造虛假信息，騙取用戶數(shù)據(jù)。
例如下圖里右下角的彈窗通知看起來非常正常，需要我們輸入Gmail密碼來登錄查看新郵件。但是一旦輸入密碼，Gmail郵箱就被盜取了。我們可以仔細(xì)看看，彈窗左上角顯示的域名是gmai1.com！這正是一個(gè)釣魚網(wǎng)站的欺詐手段。
桌面通知攻擊
最后，隨著HTML5的發(fā)展，未來還可能出現(xiàn)新的HTML5安全問題，還可能還會(huì)向著復(fù)雜化和智能化去發(fā)展。
以上就是關(guān)于API攻擊的詳細(xì)介紹，希望對大家的學(xué)習(xí)有所幫助。
相關(guān)文章
從事網(wǎng)絡(luò)安全工作，手上自然離不開一些重要的網(wǎng)絡(luò)安全工具,今天就為大家分享10大網(wǎng)絡(luò)安全工具,需要的朋友可以參考下2023-10-05
這篇為大家分享的是近幾年比較流量的安全檢測工具，從事網(wǎng)絡(luò)安全工作，手上自然離不開一些重要的網(wǎng)絡(luò)安全工具,今天就為大家分享10大網(wǎng)絡(luò)安全工具2023-10-05
如今小編從事了信息安全的工作，也算是將興趣升級成了工作,今天給大家聊聊那些年非常火的黑客軟件2023-10-05如果不使用殺毒軟件保護(hù)，您可能會(huì)面臨最常見的問題?
這篇文章主要介紹了如果不使用殺毒軟件保護(hù)，您可能會(huì)面臨最常見的問題,2020-02-03- 這篇文章主要介紹了分享幾個(gè)IDS開源系統(tǒng),需要的朋友可以參考下2019-12-01
微信域名防封技術(shù) 微信域名總是被屏蔽被攔截該如何解決
身在網(wǎng)站要想在微信端被使用，多多少少都會(huì)有預(yù)防被攔截，是專門為運(yùn)營網(wǎng)站和公眾號的運(yùn)營者一個(gè)研究的工具幾十你是正常網(wǎng)站，也是公司企業(yè)備案，照樣也會(huì)被攔截,下面 給大2019-09-15
企業(yè)數(shù)據(jù)防泄密之舉措:電腦文件加密軟件還是電腦數(shù)據(jù)防泄密系統(tǒng)?
現(xiàn)在很多單位局域網(wǎng)都是無紙化辦公，公司很多商業(yè)機(jī)密信息也是以電子文檔的方式存儲(chǔ)，那么電腦文件加密軟件還是電腦數(shù)據(jù)防泄密系統(tǒng)?下面就跟隨小編一起來了解一下2019-04-24
公司數(shù)據(jù)防泄密方案之如何防止電腦文件泄露、公司電腦防止資料泄露?
公司日常辦公都是通過計(jì)算機(jī)網(wǎng)絡(luò)進(jìn)行，員工日常工作中形成的重要文件都是存儲(chǔ)在各自的電腦上，那么公司如何防止商業(yè)機(jī)密泄露、防止電腦資料泄露呢？本文就來詳細(xì)的介紹一下2019-04-24
迅雷鏈技術(shù)專家深度剖析:區(qū)塊鏈信任之源的秘密
區(qū)塊鏈無疑是2018年的熱門技術(shù)。雖然，區(qū)塊鏈技術(shù)最受關(guān)注的應(yīng)用主要在金融服務(wù)領(lǐng)域，其實(shí)它越來越多地影響著各個(gè)行業(yè)，迅雷鏈底層研發(fā)工程師張驍就區(qū)塊鏈安全問題和密碼學(xué)2018-12-26
迅雷鏈開放平臺(tái)研發(fā)負(fù)責(zé)人張慧勇對區(qū)塊鏈安全問題的特點(diǎn)做了詳細(xì)解釋，介紹了目前區(qū)塊鏈所面臨的安全問題現(xiàn)狀、區(qū)塊鏈安全問題的特點(diǎn)，以及迅雷鏈?zhǔn)侨绾巫霭踩牡讓釉O(shè)計(jì)的2018-12-26
