Web低危漏洞之不安全的第三方链接(target=“_blank“)处理办法

最新推荐文章于 2024-04-22 09:27:03 发布
最新推荐文章于 2024-04-22 09:27:03 发布
阅读量2k 收藏
点赞数
分类专栏： security
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42715225/article/details/108519805
版权
前言

针对于低危漏洞之不安全的第三方链接，需要进行及时相应的处理

漏洞呈现

在这里插入图片描述

解决

在超链接上添加: target="_blank" rel=“noopener noreferrer”

示例
  • 解决前
target="_blank"
  • 解决后
target="_blank" rel="noopener noreferrer"
结语

… …

devops_sre
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
使用 target=“_blank“ 时保护您的用户免受恶意网站的侵害
liuhao9999的博客
06-15 229
使用 target="_blank" 时保护您的用户免受恶意网站的侵害
Vue配置marked链接添加target="_blank"的方法
10-16
然而，默认情况下，marked不会自动添加`target="_blank"`属性到Markdown中的链接，这意味着链接会在当前窗口打开。为了解决这个问题，我们需要自定义marked的渲染器（Renderer）来实现链接在新窗口打开的功能。 ...
target=“_blank”属性引入的漏洞总结
阳光男孩的专栏
01-10 5172
我们开发人员不注意添加rel="noopener"(火狐浏览器中要使用rel="noopener noreferrer"完整覆盖)或者社区网站，邮件等可以添加链接的方式传播知识或重要的邮件时，这都很可能就被黑客用来进行钓鱼的一个可大可小的漏洞存在。 这其实就是利用target=”_blank”触发window.openr API实现，其中window.location还是浏览器跨域访问的漏网之鱼，利用这种方式，只要在链接网页的Javascript中添加以下代码就可以很容易实现钓鱼
前端代码常见的安全缺陷（一）
最新发布
专注于大数据方向，区块链，前后端，数据可视化，人工智能等领域
04-22 1818
在使用标签中使用target属性，当值设置为“_blank”攻击者会针对`window.opener`API进行恶意行为的攻击，有可能导致钓鱼安全漏洞问题。例如，以下示例使用的`target`属性，但是没有设置`rel`属性。
Using target=“_blank“ without rel=“noreferrer“ (which implies rel=“noopener“) 【前端安全】
m0_63779088的博客
07-24 750
rel="noopener noreferrer"
关于网页外链用了 target="_blank"的安全隐患
qq_37730779的博客
05-08 518
安全隐患 如果只是加上target="_blank"，打开新窗口后，新页面能通过window.opener获取到来源页面的window对象，即使跨域也一样。虽然跨域的页面对于这个对象的属性访问有所限制，但还是有漏网之鱼。 这是某网页打开新窗口的页面控制台输出结果。可以看到window.opener的一些属性，某些属性的访问被拦截，是因为跨域安全策略的限制。 即便如此，还是给一些操作留下可乘之机。...
window.open()和target= blank存在安全漏洞
canyi8023的博客
10-22 2266
我们经常使用 HTML target="_blank" 或 window.open() 在新窗口中打开页面。 // in html <a href="www.google.com" target="_blank">open google</a> // in javascript window.open("www.google.com") 复制代码 但是，当新打开的页面指向一个我们不知道的网站时，我们就会被暴露在钓鱼网站的漏洞中。新页面通过 window.opener对象获得了
危险的 target=“_blank” 与 “opener”
码飞_CC的博客
07-09 689
在学习安全研发规范的时候，发现一条规则“通过 A 标签跳转到其他页面且使用 target=_blank 时，必须添加 rel=noopener 属性”，这个以前还真没了解到，遂查询了一下，发现一片文章写得挺不错的，这里就不自己写，转载一下了（危险的 target="_blank" 与 “opener”） 以下来自转载： 在网页中使用链接时，如果想要让浏览器自动在新的标签页打开指定的地址，通常的做法就是在 a 标签上添加 target等于"_blank" 属性。 然而，就是这个属性，为钓鱼攻击者带来了可乘之
网页打开新窗口target=_blank不符合标准
10-30
我们要在新窗口中打开链接通常的做法是在链接后面加target="_blank"，我们采用过渡型的DOCTYPE(xh tml1-transitional. dtd)时没有问题，但是当我们使用严格的DOCTYPE(xhtml1-strict.dtd)时，这个方法将通不过W3C的...
谈谈target=_new和_blank的不同之处
09-01
- `target="_blank"`是标准的值，确保在新的窗口或标签页中打开链接，即使链接已被点击过多次，每次都创建新的浏览环境。 在实际开发中，推荐使用`target="_blank"`来保证链接在新窗口或标签页中打开，以提供一致的...
Vue配置marked链接添加target=”_blank”的方法
12-12
1.”引入marked package.json "dependencies": { "marked": "^0.3.9" } import marked from "marked"; 1.修改生成的HTML的方法 ...const renderer = new marked.Renderer();...renderer.link = (href, title, text) =>
a标签target=”_blank”的安全问题及解决办法
热门推荐
chinashanzhang的博客
03-13 2万+
一、定义 A 标签的 target 属性规定在何处打开链接文档。如果在一个 A 标签内包含一个 target 属性，浏览器将会载入和显示用这个标签的 href 属性命名的、名称与这个目标吻合的框架或者窗口中的文档。如果这个指定名称或 id 的框架或者窗口不存在，浏览器将打开一个新的窗口，给这个窗口一个指定的标记，然后将新的文档载入那个窗口。从此以后，超链接文档就可以指向这个新的窗口。target...
appscan前端安全漏洞修复————持续记录
wsx981049288的博客
11-10 359
安全漏洞修复
target="_blank" 安全漏洞
喜欢文学的程序员
04-26 995
工作中，经常在<a>标签中添加target="_blank"，用来在新窗口打开页面，尤其是打开外链应用率几乎是100%。可是最近看到这竟然有一个巨大的安全隐患： 比如在index.html中跳转到index2.html <a href="index2.html" target="_blank">link</a> 在index2.html中添加一段js代码...
WEB安全防御总结 ： 列举漏洞及修复建议
了解—学习—进步—满足
09-09 2147
一. 不安全的第三方链接： 漏洞简介： 在新打开的页面中可以通过 window.opener获取到源页面的部分控制权，即使新打开的页面是跨域的也照样可以 修复建议： 在a标签中加入rel="noopener noreferrer"属性 处理方式： 二. 纵向越权： 漏洞简介： 对需要认证的web应用程序，直接使用不登陆鉴权的方式进行探测，检查是否能够正常访问,可能会升级用户特...
关于a标签【target=‘_blank‘】属性的安全漏洞
Teresa的前端海底乐园
04-02 524
关于a标签【target=’_blank’】属性的安全漏洞 哈哈哈，看到这个标题一定很奇怪吧？应该不止我一个人不理解为什么有些大型网站的浏览器的a标签不设置调整到空白页面打开吧？ 好奇心作祟，不死心的去百度了一下。原来：这个属性是有安全缺陷的！！！ 其实国外的网页操作“心智模型”是没有打开个新的页面的，Jackon Nielsen有篇文章《Avoid Within-Page Links》，里面讲到用户对链接的心智模型应该是这样的： 1、点击一个链接应该跳转到一个新的页面； 2、点击了一个链接，老的页面不应该
Java与网络安全关联的问题及解决办法
成锰的博客
03-11 481
1、私有链接： 前端代码里有私有链接，如172.16，即便被注释，也会被利用，应该用域名代理 2、安全内容策略： 未配置安全内容策略，网页存在被挂载第三方的链接的风险，解决办法：配置全局安全内容策略如： response.addHeader("Content-Security-Policy","default-src'self'https:<ahref="http://api.map.baidu.com/">http://api.map.baidu.com</a>...
web安全漏洞扫描工具
08-19
常见的web安全漏洞扫描工具有Acunetix Web Vulnerability Scanner (AWVS)和vulmap。AWVS是一款知名的网络漏洞扫描工具，它通过网络爬虫测试网站安全，并能检测流行的安全漏洞。使用AWVS可以扫描出许多漏洞，而且使用比较简单。 vulmap是一款漏洞扫描工具，可以对Web容器、Web服务器、Web中间件以及CMS等Web程序进行漏洞扫描，并具备漏洞利用功能。测试人员可以使用vulmap来检测目标是否存在特定漏洞，并验证漏洞是否真实存在。 在渗透测试的信息收集阶段完成后，根据收集到的信息，可以使用这些漏洞扫描工具来扫描目标站点可能存在的漏洞，包括SQL注入漏洞、跨站脚本漏洞、文件上传漏洞、文件包含漏洞和命令执行漏洞等。通过寻找这些已知的漏洞，可以找到目标站点存在攻击的入口。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *3* [渗透测试常用WEB安全漏洞扫描工具推荐](https://blog.csdn.net/angelinamomo/article/details/115673052)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] - *2* [vulmap——漏洞扫描工具简介与使用教程](https://blog.csdn.net/weixin_40412037/article/details/112250067)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值