内容简介:在前几天,DVP平台收到了一个著名区块链(Etherscan)浏览的漏洞,可以导致用户将恶意代码嵌入Etherscan的a标签中,可导致用户遭到被恶意钓鱼。本文为作者“区块链安全档案”,原创文章,转载时请保留本声明及附带文章链接。 内容仅供读者参考,并非投资建议,本网站将保留所有法律权益。
2018-09-25 20:20 技术 观点 2664 收藏
在前几天,DVP平台收到了一个著名区块链(Etherscan)浏览的漏洞,可以导致用户将恶意代码嵌入Etherscan的a标签中,可导致用户遭到被恶意钓鱼。
在前几天,DVP平台收到了一个著名区块链(Etherscan)浏览的漏洞,可以导致用户将恶意代码嵌入Etherscan的a标签中,可导致用户遭到被恶意钓鱼,以下是漏洞详情:
简要描述:漏洞说明、利用条件、危害等
部署合约代币时,符合ERC20标准的情况下,symbol和name自定义,可嵌入a标签覆盖原本的标签。
在用户访问点击页面内的合约名字,可以劫持至任意网站。
需要部署ERC20标准的合约,且在访问合约页面之前,发起一次交易。
漏洞证明:
漏洞利用代码:
点击劫持漏洞的解决方法:
X-Frame-Options HTTP 响应头, 可以指示浏览器是否应该加载一个 iframe 中的页面。 网站可以通过设置 X-Frame-Options 阻止站点内的页面被其他页面嵌入从而防止点击劫持
方法一:常见的比如使用js,判断顶层窗口跳转:
一般这样够用了,但是有一次发现失效了,看了一下人家网站就是顶层窗口中的代码,发现这段代码:
轻轻松松被破解了,悲剧。
注:此方式破解对IE6,IE7,IE9 、Chrome、firefox无效
方法二:meta 标签:基本没什么效果,所以也放弃了:
方法三:使用HTTP 响应头信息中的 X-Frame-Options属性
使用 X-Frame-Options 有三个可选的值:
DENY:浏览器拒绝当前页面加载任何Frame页面
SAMEORIGIN:frame页面的地址只能为同源域名下的页面
ALLOW-FROM:origin为允许frame加载的页面地址
换一句话说,如果设置为 DENY,不光在别人的网站 frame 嵌入时会无法加载,在同域名页面中同样会无法加载。另一方面,如果设置为 SAMEORIGIN,那么页面就可以在同域名页面的 frame 中嵌套
绝大部分浏览器支持:
配置 Apache
配置 Apache 在所有页面上发送 X-Frame-Options 响应头,需要把下面这行添加到 'site' 的配置中:
配置 nginx
配置 nginx 发送 X-Frame-Options 响应头,把下面这行添加到 'http', 'server' 或者 'location' 的配置中:
配置 IIS
配置 IIS 发送 X-Frame-Options 响应头,添加下面的配置到 Web.config 文件中:
结果
在Firefox尝试加载frame的内容时,如果X-Frame-Options响应头设置为禁止访问了,那么Firefox会用about:blank展现到frame中。也许从某种方面来讲的话,展示为错误消息会更好一点。该漏洞已经与Etherscan厂商联系,目前已修复。
本文为作者“区块链安全档案”,原创文章,转载时请保留本声明及附带文章链接。 内容仅供读者参考,并非投资建议,本网站将保留所有法律权益。
以上所述就是小编给大家介绍的《曲速未来 消息:etherscan点击劫持漏洞分析》,希望对大家有所帮助,如果大家有任何疑问请给我留言,小编会及时回复大家的。在此也非常感谢大家对 码农网 的支持!
猜你喜欢:本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们。
Java核心技术·卷1:基础知识(原书第9版)
(美)Cay S. Horstmann、(美)Gary Cornell / 周立新、陈波、叶乃文、邝劲筠、杜永萍 / 机械工业出版社 / 2013-11-1 / 119.00
Java领域最有影响力和价值的著作之一,拥有20多年教学与研究经验的资深Java技术专家撰写(获Jolt大奖),与《Java编程思想》齐名,10余年全球畅销不衰,广受好评。第9版根据JavaSE7全面更新,同时修正了第8版中的不足,系统全面讲解Java语言的核心概念、语法、重要特性和开发方法,包含大量案例,实践性强。 《Java核心技术·卷1:基础知识》共14章。第1章概述了Java语言与其......一起来看看 《Java核心技术·卷1:基础知识(原书第9版)》 这本书的介绍吧!