利用第三方浏览器漏洞钓鱼(3)

从上面的测试可以看到，在IE浏览器中，"@"钓鱼漏洞不存在了，但是第三方浏览器的流行，让这个老漏洞又有了利用的价值。攻击者可制作一个网页木马，诈骗用户访问打开此链接，从而导致遭受网页木马攻击。攻击者在一个论坛中发布一张欺骗性的帖子，假如帖子的主题为"注册网上银行中大奖啦！"，在帖子内容中输入一些欺骗诱惑性的内容，并留下网络银行的链接地址，诱骗用户登录自己伪造的虚假网站上。其中最重要的一个环节就是构造虚拟的链接地址，让用户以为自己登录的是正确的网站，一般来说，攻击者可将撰写模式切换为HTML，在帖子中加入如下的代码：

点击<a href="https://mybank.icbc.com.cn/icbc/perbank/regtip.jsp           @www.sina.com.cn/">http://www.icbc.com.cn/</a> ，即可登录注册开通网上银行中1万元大奖！

注意，这里在"@"前加入了空格及一个真的工行链接，以便在状态栏中显示链接时，隐藏"@"符号及后面的假工行链接。

当帖子发布以后，在网页中显示的将是"http://www.icbc.com.cn"链接地址，即使将鼠标移动到连接上在状态栏上看起来依然连接到"http://www.icbc.com.cn"的网站上（图4），但是当用户点击链接后，会连接到在网页中显示的是"中国工商银行网上银行"，但是当用户点击该链接时，却连接到了伪造的网站上。如果攻击者将新浪的网址换成网页木马链接地址，那么用户就很有可能上当受骗。

图4 @漏洞传播网马

另外，在一些第三方浏览器其它更为严重的跨域欺骗漏洞、XSS跨站脚本漏洞等，由于利用的方法比较复杂，因此这里就不多作讲解了。

服务器租用/服务器托管中国五强！虚拟主机域名注册顶级提供商！15年品质保障！--亿恩科技[ENKJ.COM]