CyberGlossary

攻击与威胁

标签页伪装攻击 (Tabnabbing)

别称: Reverse tabnabbing

定义

后台或新打开的浏览器标签页静默改写自身,伪装成可信的登录页面,等待用户切回时再输入凭据的攻击。

Tabnabbing 利用人们很少留意闲置标签页这一点。经典版本中,用户离开某标签页后,该页面通过 JavaScript 修改标题、favicon 与内容,使其看起来像 Webmail、网银等熟悉的服务;用户切回时往往会输入密码。逆向 Tabnabbing(reverse tabnabbing)则利用 target="_blank" 链接:被打开的恶意页面通过 window.opener 改写原标签页的 URL,导向钓鱼网站。现代浏览器默认对 target="_blank" 启用 rel="noopener",但旧代码仍可能受影响。防御措施包括在外链上添加 rel="noopener noreferrer"、使用 CSP、对用户控制的 URL 用 noopener 打开,以及提醒用户切回标签页时检查 URL 栏。

示例

  • 用户离开的标签页静默改写为 Gmail 登录页面外观,并提示输入密码。
  • 评论里的链接打开新标签后,通过 window.opener 把原标签重定向到钓鱼站点。

相关术语