Inception bar: новый метод фишинга

[acyp]

хз. у меня, возможно в силу привычки крутить страницу вверз-вниз на экране две строки. нижняя действительно фейковая, а сверху настоящая. но при совпадении нескольких моментов может и сработает.

[Alex_ME]

Протестировал в мобильной Опере (да, я знаю, что это очень редкий браузер).

Помимо очевидного несоответствия строки браузеру, что можно решить, как написал автор, есть еще

• видимо, scroll jail работает в опере как-то неправильно, и как бы ты не скроллил страницу, оригинальная адресная строка не думает скрываться
• сразу бросилось в глаза неправильное количество вкладок

[Ilyasyakubov]

Схожая ситуация с мобильным Safari. Адресная строка не скрывается. Но даже когда скрывается на других сайтах, сверху все равно висит название сайта мелким шрифтом.

[BkmzSpb]

Аналогичное поведение в мобильном Firefox, показывает настоящий и фейковый бар. А вот открыв в Chrome — это могло бы меня обмануть, по крайней мере 1-2 раза кликнуть по фейковой строке предже чем понять, что что-то не так, я мог бы.

[Porohovnik]

А вот и защита от данной атаки…

[lopatoid]

И какой в этом смысл? Ну тогда можно просто запретить скрывать адрес бар, и всё. Разработчики Хрома же хотели дать пользователю больше места для отображения контента.

[Porohovnik]

Я браузер может и вот так:

А как вам такой вариант? в низу всегда остаётся невесомая полоска… а защита остаётся

[Cerberuser]

851 вкладка? Серьёзно?..

[Tufed]

А почему бы и нет? работает ведь.

[Revertis]

Всегда отключаю скрытие адресной строки в Firefox, ибо просто бесит постоянное выезжание-заезжание.

[AngReload]

В мобильном FF это как-то особенно ужасно сделано, да ещё и страница подёргивается.

[mamant]

iPhone 6s, последний хром

[darthslider]

В IOS chrome это рескин сафари же.
Эпл не пускает чужие движки к себе.

[tsukasa_mixer]

Ну, если подумать, то доделать соответствие с системой, и браузер ом я так думаю можно
т.е. Различие может и пропасть.

[id_potassium_chloride]

На моём Google Chrome тоже появилось две строки состояния (хотя и не сразу). А ещё фейковая строка никак не может скопировать истинное количество открытых вкладок пользователя и поведение при нажатии на кнопку переключения между вкладками. Существенно (на мой взгляд) осложнено копирование шрифтов и стиля оформления в соответствии с версией браузера, ОС и конкретным устройством.

Кстати, ранее читал о похожей атаке для Desktop: страница создаёт фейковый элемент, который копирует всплывающее окно браузера в Windows. Если не пытаться увести его за границы окна браузера, то визуально окно не отличается от настоящего.

[Kobalt_x]

Нормально воспоизводится только на split-скрине. В другом случае резским скроллом вверх можно увидеть истинную адресную строку.

[Tatikoma]

После блокировки/разблокировки телефона, а так же после сворачивания/разворачивания браузера — появилась оригинальная строка.

Но в целом очень круто, не знал про такой хак со скроллом. Кмк, — баг в хроме в том, что пролистнув страницу наверх не появляется оригинальная строка. Думается мне, что условие возврата оригинальной строки должно быть несколько более сложным, нежели document.body.scrollTop == 0.
Есть баг-репорт в хроме или нужно написать?

[cheebo]

Не надо ничего писать!)

[MadOokami]

А в чем баг, если

Обычно, когда вы листаете вверх, Chrome заново отображает URL. Мы можем заставить его этого не делать! В тот момент, когда браузер скрывает URL-строку, мы перемещаем всё содержимое страницы в т.н «скролл-камеру» (англ. scroll jail) — новый элемент, в котором применяется свойство «overflow:scroll»

Т.е. есть возможность показать элемент, перекрыв строку с URL.

[trolley813]

> автора Jim Fisher
Jim Phisher :)

[NickTuchkov]

не исключено)