Zapowiedź rozwiązania problemu fałszowania adresów URL w IE

Na liście NTBugrtraq Microsoft opublikował niedawno dokument zapowiadający oprogramowanie modyfikujące Internet Explorer i usuwające możliwość podania nazwy użytkownika i hasła w adresie URL w postaci: http(s)://username:password@server/

Zachowanie takie pozwala na przekazanie użytkownikowi odpowiednio sformatowanego adresu URL przekierowującej go na wybrany adres serwera, jednocześnie w pasku adresu i statusu pokazując inny adres.

Korzystając z metod opublikowanych w ostatnim czasie i stosownych już przez atakujących, jak naprzykład zastosowanie znaków "%00" pozwala to atakujacemu na oszukanie użytkownika.

Przykład:

Podanie adresu: http://www.bank.pl%01@niebezpiecznawitryna.com
może spowodować w IE pojawienie się w pasku stanu i pasku adresu infomracji o adresie http://www.bank.pl, gdy jednocześnie połączenie zostanie nawiązane do adresu http://niebezpiecznawitryna.com.

Informacje o planowanym oprogramowaniu można znaleźć w artykule Q834489.

Informacje o możliwości fałszowania adresu URL można znaleźć w artykule Q834489 oraz na naszych stronach w tekscie pt.:"Jak zamaskować swój adres URL".

Zobacz również: