现代浏览器安全研究：攻击与防御

"2012年中国计算机网络安全年会上，天融信首席安全研究员徐少培对现代浏览器的新安全研究进行了深入探讨，重点关注了包括地址栏攻击、存储攻击、页面攻击、状态栏攻击、插件攻击以及隐私攻击在内的多种威胁。此外，他还讨论了HTML5安全研究、浏览器安全研究以及Web安全研究的相关议题。徐少培强调了不同浏览器之间的特性和差异，这些差异往往成为攻击者利用的安全漏洞。" 在现代浏览器的安全研究中，徐少培提出了以下几个关键点： 1. **地址栏欺骗**：攻击者通过各种技术手段，如利用JavaScript事件（如Onclick(), Onmouseup(), Onmousedown()）或HTML5的新特性（如pushState()），欺骗用户点击看似安全但实际上指向恶意网站的URL。浏览器之间的差异使得这种攻击更具挑战性，例如，某些浏览器在点击URL时会显示真实地址，而有些则不会。 2. **URL状态栏欺骗**：攻击者利用CSS样式处理来改变状态栏显示的URL，制造虚假的安全感。随着浏览器更新，一些浏览器（如Chrome, Firefox, IE）改变了状态栏的行为，但这并未完全消除欺骗的可能性。 3. **页面标签欺骗攻击（Tabnabbing）**：当用户离开标签页一段时间后，攻击者可以篡改标签的图标、标题和内容，当用户返回时，可能会误认为是他们之前访问的合法页面，从而遭受欺诈。 4. **页面解析欺骗攻击**：通过操纵页面元素和JavaScript函数（如Window.open(), window.location, Alert(), prompt(), Document.write()等）导致逻辑错误，实现域欺骗，用于钓鱼攻击。 5. **扩展插件攻击**：浏览器的扩展插件因其权限较高，往往成为攻击者的入口点，通过滥用插件权限，攻击者可以获取用户敏感信息或执行恶意代码。 6. **本地存储攻击**：随着HTML5的普及，本地存储（如localStorage）提供了数据持久化，但也增加了被攻击的风险。攻击者可以读取或修改这些存储的数据，侵犯用户的隐私。 7. **隐私安全与安全策略**：浏览器的隐私模式和安全策略旨在保护用户信息，但攻击者可能会寻找绕过这些策略的方法，如利用特性差异进行攻击。 徐少培的研究揭示了现代浏览器安全的复杂性，需要持续关注和应对新的威胁。随着浏览器技术和Web标准的发展，安全研究人员必须时刻保持警惕，以防止新的攻击手法出现并危害用户的网络安全。同时，他也提醒开发者和用户，了解浏览器的特性和潜在风险，提高防范意识，是保障网络环境安全的重要一环。