Target="_blank" : La vulnerabilidad más subestimada

Target="_blank" : La vulnerabilidad más subestimada
phishing con target="_blank"
Modificado por última vez en Viernes, 10 Marzo 2017 15:34
(0 votos)

Un ataque de phishing poco conocido

Las personas que usan vínculos target="_ blank" normalmente no tienen idea de este curioso hecho:

La página que estamos enlazando ganan acceso parcial a la página de enlace a través del objeto window.opener.

La pestaña recién abierta puede, por ejemplo, cambiar la posición window.opener.location a alguna página de phishing. O ejecutar en su nombre algún JavaScript en la página de apertura... Los usuarios confían en la página que ya está abierta, y no sospechan.

Ejemplo de ataque: crear una falsa página "viral" con imágenes de chicas lindas, chistes o lo que sea, al ser compartido en Facebook (que es conocido por abrir los enlaces a través de _blank) y, cada vez que alguien hace clic en el enlace, se ejecuta

window.opener.location = 'https://fakewebsite/facebook.com/PHISHING-PAGE.html';

...redirigiendo a una página que pide al usuario volver a introducir su contraseña de Facebook.

Como arreglarlo

Añade esto a sus enlaces salientes:

rel="noopener"

Firefox no soporta "noopener" por lo que debes agregar esto:

rel="noopener"

así:

<a href="/enlace-saliente.html" target="_blank" rel="noopener"/>

Recuerda que cada vez que abras una nueva ventana a través de window.open(); también eres "vulnerable" a esto, así que siempre reinicia la propiedad "opener".

var newWnd = window.open();
newWnd.opener = null;

PD. Curiosamente, a Google no parece importarle.


Comentarios (0)

No hay comentarios escritos aquí

Deja tus comentarios

  1. Publicar comentario como invitado. Regístrate o ingresaa tu cuenta
Archivos adjuntos (0 / 3)
Compartir su ubicación
close

Recibe gratis nuestros nuevos artículos!

Serás el primero en conocer las novedades y noticias que pasan en Internet, nuestros tutoriales, trucos y más.

Escribe tu email:

Se abrirá una nueva ventana deFeedBurner a la izquierda de la página y habrás de validar un Captcha.

Lee nuestras Política de privacidad & Política de cookies
Puedes darte de baja de la lista de correo electrónico en cualquier momento