सफारी ब्राउज़र में बग

मेजर सिक्योरिटी ने iOS 5.1 के लिए सफारी मोबाइल ब्राउज़र में भेद्यता का विवरण प्रकाशित किया है। इस भेद्यता का उपयोग करके, पता बार में एक पते को नकली करना संभव है।

जावास्क्रिप्ट में गलत जावास्क्रिप्ट की window.open () कॉल प्रोसेसिंग के कारण समस्या है। बग आपको पता बार में किसी और की साइट का URL प्रदर्शित करने की अनुमति देता है, जिससे पीड़ित को गुमराह किया जा सकता है।

व्यवहार में भेद्यता प्रदर्शित करने के लिए, विशेषज्ञों ने एक विशेष परीक्षण पृष्ठ बनाया। आप आईओएस 5.1 के नीचे से सफारी ब्राउज़र के साथ जा सकते हैं - और डेमो बटन पर क्लिक करें।

http://majorsecurity.net/html5/ios51-demo.html



आपके द्वारा डेमो बटन पर क्लिक करने के बाद, सफारी एक नई विंडो खोलती है जहाँ www.apple.com एड्रेस बार में दर्शाया गया है, लेकिन वास्तव में apple.com होस्ट मेजोरेसिटी.नेट पर एक फ्रेम में खुलता है, अर्थात, उपयोगकर्ता वास्तव में मेजरसेक साइट को नहीं छोड़ता है। शुद्ध।

बेशक, इस बग को हमलावरों द्वारा देखा जाएगा। जैसा कि आप अनुमान लगा सकते हैं, इस बग का उपयोग फ़िशिंग हमलों के लिए किया जा सकता है। उदाहरण के लिए, एक उपयोगकर्ता को फ़िशिंग साइट पर भेजा जाता है, जो "मूल" ऑनलाइन बैंकिंग प्रणाली (या जीमेल, फेसबुक, आदि) की एक सटीक प्रतिलिपि है, जबकि वास्तविक साइट को फ्रेम में खोल दिया जाता है - और उपयोगकर्ता ब्राउज़र के एड्रेस बार में एक प्रामाणिक URL देखता है।

IOS 5.0.1 और iOS 5.1 में भेद्यता को सत्यापित और पुष्टि की गई थी; इसे विभिन्न उपकरणों पर परीक्षण किया गया था: iPhone4, iPhone4S, iPad2 और iPad3। भेद्यता संभवतः iOS के पिछले संस्करणों में भी मौजूद है।