地址栏欺骗漏洞是Web浏览器中的安全漏洞，允许恶意网站修改其真实URL并显示虚假网站而不是原始合法网站。近日，网络安全公司Rapid7和巴基斯坦安全研究员RafayBaloch在AppleSafari、OperaTouch、OperaMini、Bolt、RITS、UCBrowser和Yandex7款移动客户端浏览器应用中发现了10个新的地址栏欺骗漏洞。技术细节漏洞1PoC注意：setInterval函数的值可能会根据浏览器进行调整，以实现有效的URL欺骗。图1：MACOSHIGHSIERRA10.13.6（17G14019）中的地址栏欺骗图2：Safari13.1.2版本（13609.3.5.1.5）中的地址栏欺骗漏洞PoC下面的PoC证明了基于浏览器的欺骗Yandex浏览器Android和operatouchiOS中的漏洞：图3：解决Yandex浏览器Android中的欺骗漏洞图4：解决operatouchiOS中的欺骗漏洞漏洞3PoC下面的PoC证明UCBrowserforAndroid和operatouch的基于浏览器的欺骗漏洞iOS：图5：解决Android版UC浏览器的欺骗漏洞图6：解决OperaTouch的欺骗漏洞iOS4下面的PoC证明解决了iOS版Opera浏览器中一个基于浏览器的欺骗漏洞。数据方案后的任意URL将导致URL持久化并触发地址栏欺骗条件。Spoof13图7：Operatouch浏览器地址欺骗漏洞漏洞5PoC以下PoC证明UC浏览器Android版、Opera浏览器Android版、RITS浏览器Android版、Bolt浏览器iOS版地址欺骗漏洞：图8：地址欺骗UC浏览器Android版漏洞图9：OperaMini浏览器Android版地址欺骗漏洞图10：RITS浏览器Android版地址欺骗漏洞图11：Bolt浏览器IOS版地址欺骗漏洞本文翻译自：https:///www.rafaybaloch.com/2020/10/multiple-address-bar-spoofing-vulnerabilities.htmlhttps://blog.rapid7.com/2020/10/20/vulntober-multiple-mobile-browser-address-bar-spoofing-vulnerabilities/如有转载请注明出处。
