Comments 21
хз. у меня, возможно в силу привычки крутить страницу вверз-вниз на экране две строки. нижняя действительно фейковая, а сверху настоящая. но при совпадении нескольких моментов может и сработает.
Протестировал в мобильной Опере (да, я знаю, что это очень редкий браузер).
Помимо очевидного несоответствия строки браузеру, что можно решить, как написал автор, есть еще
- видимо, scroll jail работает в опере как-то неправильно, и как бы ты не скроллил страницу, оригинальная адресная строка не думает скрываться
- сразу бросилось в глаза неправильное количество вкладок
Схожая ситуация с мобильным Safari. Адресная строка не скрывается. Но даже когда скрывается на других сайтах, сверху все равно висит название сайта мелким шрифтом.
Аналогичное поведение в мобильном Firefox, показывает настоящий и фейковый бар. А вот открыв в Chrome — это могло бы меня обмануть, по крайней мере 1-2 раза кликнуть по фейковой строке предже чем понять, что что-то не так, я мог бы.
А вот и защита от данной атаки…
Всегда отключаю скрытие адресной строки в Firefox, ибо просто бесит постоянное выезжание-заезжание.
iPhone 6s, последний хром
Ну, если подумать, то доделать соответствие с системой, и браузер ом я так думаю можно
т.е. Различие может и пропасть.
т.е. Различие может и пропасть.
На моём Google Chrome тоже появилось две строки состояния (хотя и не сразу). А ещё фейковая строка никак не может скопировать истинное количество открытых вкладок пользователя и поведение при нажатии на кнопку переключения между вкладками. Существенно (на мой взгляд) осложнено копирование шрифтов и стиля оформления в соответствии с версией браузера, ОС и конкретным устройством.
Кстати, ранее читал о похожей атаке для Desktop: страница создаёт фейковый элемент, который копирует всплывающее окно браузера в Windows. Если не пытаться увести его за границы окна браузера, то визуально окно не отличается от настоящего.
Кстати, ранее читал о похожей атаке для Desktop: страница создаёт фейковый элемент, который копирует всплывающее окно браузера в Windows. Если не пытаться увести его за границы окна браузера, то визуально окно не отличается от настоящего.
Нормально воспоизводится только на split-скрине. В другом случае резским скроллом вверх можно увидеть истинную адресную строку.
После блокировки/разблокировки телефона, а так же после сворачивания/разворачивания браузера — появилась оригинальная строка.
Но в целом очень круто, не знал про такой хак со скроллом. Кмк, — баг в хроме в том, что пролистнув страницу наверх не появляется оригинальная строка. Думается мне, что условие возврата оригинальной строки должно быть несколько более сложным, нежели document.body.scrollTop == 0.
Есть баг-репорт в хроме или нужно написать?
Но в целом очень круто, не знал про такой хак со скроллом. Кмк, — баг в хроме в том, что пролистнув страницу наверх не появляется оригинальная строка. Думается мне, что условие возврата оригинальной строки должно быть несколько более сложным, нежели document.body.scrollTop == 0.
Есть баг-репорт в хроме или нужно написать?
Не надо ничего писать!)
А в чем баг, если
Т.е. есть возможность показать элемент, перекрыв строку с URL.
Обычно, когда вы листаете вверх, Chrome заново отображает URL. Мы можем заставить его этого не делать! В тот момент, когда браузер скрывает URL-строку, мы перемещаем всё содержимое страницы в т.н «скролл-камеру» (англ. scroll jail) — новый элемент, в котором применяется свойство «overflow:scroll»
Т.е. есть возможность показать элемент, перекрыв строку с URL.
> автора Jim Fisher
Jim Phisher :)
Jim Phisher :)
Sign up to leave a comment.
Inception bar: новый метод фишинга