Опасный target=_blank

05-05-2016, 10:58 PM

Источники:
https://habrahabr.ru/post/282880/
https://mathiasbynens.github.io/rel-noopener/

Коротко о проблеме:
Через window.opener.location мы сможем сделать редирект на, к примеру, фишинговую страницу.
Это своего рода tabnabbing, только более продвинутый. Так как жертва меньше всего ожидает подмены страницы, в открытой ранее, доверенной вкладке браузера.

Коротко о решении:

Code:

rel="noopener"; rel=noreferrer

window.opener = null;

var otherWindow = window.open();
otherWindow.opener = null;
otherWindow.location = targetUrl;

05-05-2016, 11:43 PM

ммм...
прочитал "большой текст" на хабре (+комменты) и почти все по тамошним ссылкам, но так и не понял, чем же так опасен этот таргет=_бланк если код выполняется на стороне моего сервера и не доступен для внесения изменений "злоумышленником"?

05-06-2016, 12:29 AM

проблема не на стороне сервера, а на стороне клиента.

смотри, страница уже сформирована и загружена в брузер (напр. главная vbsup)
в ней есть линк href="пупкн" target=_blank. само собой откроется в новой вкладке и перекроет (визуально) vbsup

при обычном поведении, вкладка с загруженной страницей vbsup никак не меняется.
но через упомянутый мезанизм, можно вкладку с vbsup редиректнуть куда угодно.

при этом пока вкладка с vbsup, визуально, перекрыта новой, ты даже этого и не заметишь

syn добавил 05.05.2016 в 23:26
вот сидишь ты на хабре, читаешь тот пост, кликаешь линк _http://sli.su/habr-test.html_ он с target=_blank
у тебя открывается новая вкладка и грузится новая страница. визуально перекрывая страницу с постом, которую ты читал.

а в это время писец не дремлет.
страница хабры с постом, который ты читал, редиректится на гугиль.

кликай сей линк и наблюдай

код страницы

HTML Code:

<!DOCTYPE html>
<html>
<head lang="en">
    <meta charset="UTF-8">
    <title></title>
    <meta name="robots" content="noindex, nofollow">
</head>
<body>
<script>
    window.opener.location = 'https://google.com';
</script>
</body>
</html>

подлая и весьма опасная какаха.

05-06-2016, 02:45 AM

да, странная штука...
вроде браузер должен отвечать за такие проделки с открытием контента во вкладках и предупреждать о смене содержимого уже открытой ранее вкладки, каким то скриптом, из только что открытой
==
собсно фикс не сложный для всех внешних ссылок (уже поправил)
а вот вобла активно юзает window.opener при загрузке вложений
из открытой вкладки или окна обновляется содержимое страницы основной вкладки, когда вложения загружены (яваскрипту необходимо обновить список вложений прикрепленных к посту)

но фикс работает только для хромого и лисы
в старой опере не канает

05-06-2016, 05:04 AM

Привык открывать ссылки нажатием на колёсико мыши, а так подмена не работает.

05-06-2016, 10:14 AM

Winner, тут скорее важно, какие действия брузера на кейкоды повешены, а не сами кнопки.
средний клик открывает новую вкладку, как бы "под" родительской. не переходя на саму вкладку.
т.е. действия брузер выполняет немного разные.

syn добавил 06.05.2016 в 09:14
у многих попросту может отсутствовать средний клик.
добавить сюда еще тыкфоны и тыкшеты...
короч, однозначно фиксить надо.

05-06-2016, 01:24 PM

стоит последний Хромой, ни одна "кривая" ссылка не отработала.

05-06-2016, 03:12 PM

@Hobot, что-то ты делаешь не так

у меня крайняя версия хромиума, работает

syn добавил 06.05.2016 в 14:12
@Hobot, тут проверять уже бесполезно, керк уже пофиксил.
проверяй на ресурсах, где это не пофиксили.

Quote:

Originally Posted by kerk

для всех внешних ссылок (уже поправил)

05-06-2016, 05:34 PM

Quote:

Originally Posted by syn

проверяй на ресурсах, где это не пофиксили

в яндекс-почте, например, письмо себе пришли с такой ссылкой

тему переношу в "Безопасность"
дамы и господа, как думаете, есть смысл сделать рассылку?

05-06-2016, 05:49 PM

Quote:

Originally Posted by Luvilla

есть смысл сделать рассылку?

Есть.