微软和苹果浏览器漏洞：不改变地址即可改变网页内容

    北京时间 9 月 12 日早间消息，据美国科技媒体The Register报道，安全研究人员发现Edge和Safari浏览器存在漏洞，恶意者可以利用漏洞发起攻击，在不改变地址的情况下改变网页内容。

    安全研究人员拉菲·巴罗奇（Rafay Baloch）指出，微软已经用补丁修复漏洞，不过苹果行动迟缓，所以目前Safari仍然不安全。

    通过漏洞，攻击者可以加载合法页面，让网页地址在地址栏显示，然后快速将页面内的代码转换为恶意代码，地址栏中的URL地址无需改变。这样一来，攻击者可以创建虚假登录屏幕或者其它表格，收集用户名、密码及其它数据，用户很难区分真假，他们会认为自己登录的页面是真实的。

    浏览器的源码是封闭的，巴罗奇不清楚Edge和Safari存在该漏洞，但Chrome和火狐没有的原因。照他的猜测，浏览器决定何时显示页面地址可能是问题的关键。巴罗奇说：“不同的浏览器处理导航的手法并不一样，当页面正在加载时，Safari、Edge浏览器允许代码更新。浏览器可以允许地址栏在页面完全加载之后更新一次，这样就可以解决问题了。”

    微软目前已经修复漏洞。 6 月 2 日巴罗奇向苹果提交报告，至今还没有修复。按照惯例有 90 天的时间窗口，巴罗奇说他会披露漏洞，但是在苹果发布补丁之前不会公开代码。