北京，2025年6月3日 – 网络安全领域再次拉响警报，安全公司SquareX近日发布报告，揭示了一种名为“Browser in the Middle”（浏览器中间人）的新型钓鱼攻击手法。该攻击利用了当前主流浏览器（包括Chrome、Edge和Safari）在Fullscreen API（全屏应用程序接口）设计上的缺陷，结合虚假的弹窗登录页面，对用户进行欺骗，从而窃取用户的账号密码等敏感信息。这种攻击方式隐蔽性极高，用户稍不留神便可能落入陷阱，造成严重的财产和隐私损失。
新型攻击手法：“Browser in the Middle”
“Browser in the Middle”本质上是一种中间人攻击，其核心在于创建一个看似真实的登录页面，诱骗用户输入账号密码。不同于以往的钓鱼攻击，这种新型手法巧妙地利用了浏览器的Fullscreen API，将虚假登录页面设置为全屏显示，从而隐藏浏览器的地址栏，使得用户难以辨别真伪。
攻击流程详解
-
虚假弹窗登录页： 攻击者首先会创建一个与知名网站（例如Steam、社交媒体平台等）登录页面高度相似的虚假弹窗。这些页面在视觉上几乎与官方页面无异，极具迷惑性。
-
Fullscreen API的滥用： 攻击者利用浏览器提供的Fullscreen API，将虚假登录页面设置为全屏显示。Fullscreen API原本是为了提供更好的用户体验，例如在观看视频或进行游戏时，全屏显示可以带来更沉浸式的体验。然而，攻击者却利用了这一功能的漏洞，将虚假页面设置为全屏，从而隐藏浏览器的地址栏。
-
欺骗用户输入凭据： 在全屏模式下，用户很难注意到地址栏的缺失或异常，很容易误以为自己正在访问真实的网站。此时，攻击者会诱导用户输入账号密码等敏感信息。一旦用户输入，这些信息就会被立即发送到攻击者的服务器，从而完成账号窃取。
-
隐蔽性极高： 这种攻击手法的隐蔽性极高，主要体现在两个方面：
- 视觉欺骗： 虚假登录页面在视觉上与官方页面高度相似，用户很难通过肉眼辨别真伪。
- 地址栏隐藏： 全屏模式下，浏览器的地址栏被隐藏，用户无法通过检查URL来判断网站的真实性。
浏览器设计缺陷
SquareX的研究人员指出，目前主流的Chrome、Edge和Safari浏览器都存在设计缺陷，使得这种攻击成为可能。
-
Fullscreen API权限管理不足： 各大浏览器的Fullscreen API并未明确规定第三方网站该如何触发全屏。这意味着攻击者可以随意调用Fullscreen API，将任何网页设置为全屏显示，而无需经过用户的明确授权。
-
全屏提示不明显： 虽然部分浏览器（如Chrome和Edge）在切换到全屏模式时会弹出提示，但这些提示通常只显示几秒钟，而且位置不显眼，用户很容易忽略。而Safari浏览器在切换到网页全屏模式时甚至不会显示任何提示，风险最高。
Safari浏览器面临的更高风险
SquareX的报告特别指出，苹果的Safari浏览器在这种攻击面前风险最高。这是因为Safari在切换到网页全屏模式时不会显示任何提示。这意味着用户在使用Safari浏览器时，更容易被虚假的全屏登录页面所欺骗，从而泄露自己的账号密码。
Chromium内核浏览器的风险
基于Chromium内核的浏览器（如谷歌Chrome、微软Edge）虽然会弹出提示，但也只会短暂显示几秒，用户难以注意到。这意味着即使在使用这些浏览器时，用户仍然需要保持高度警惕，仔细检查全屏页面的内容，以避免落入钓鱼陷阱。
如何防范“Browser in the Middle”攻击？
虽然这种新型攻击手法具有很强的隐蔽性，但用户仍然可以通过一些方法来防范：
-
保持警惕： 在任何情况下，都要保持警惕，不要轻易相信弹出的登录页面。特别是当页面要求输入账号密码等敏感信息时，更要格外小心。
-
检查URL： 在输入账号密码之前，务必仔细检查浏览器的地址栏，确认网站的URL是否与官方网站一致。如果发现URL有任何异常，例如拼写错误、域名后缀不一致等，都应该立即停止操作。
-
避免点击不明链接： 不要点击来自不明来源的链接，特别是那些声称可以提供优惠、奖励或紧急通知的链接。这些链接很可能指向虚假的登录页面。
-
使用密码管理器： 密码管理器可以自动填充账号密码，避免手动输入，从而降低被钓鱼的风险。密码管理器通常会验证网站的真实性，只有在确认网站是官方网站时才会自动填充密码。
-
启用双重验证： 启用双重验证可以为账号增加一层额外的保护。即使攻击者窃取了你的账号密码，也无法轻易登录你的账号，因为他们还需要提供额外的验证码。
-
及时更新浏览器： 浏览器厂商会不断修复安全漏洞，因此及时更新浏览器是保持安全的重要措施。
-
安装安全软件： 安装可靠的安全软件可以帮助你检测和拦截恶意网站和钓鱼链接。
-
注意全屏提示： 如果浏览器弹出全屏提示，务必仔细阅读提示内容，确认是否是你主动触发了全屏模式。如果不是，应该立即关闭全屏模式。
行业专家的观点
针对这种新型攻击手法，网络安全专家纷纷发表了自己的看法。
-
SquareX首席执行官： “Browser in the Middle攻击是一种非常狡猾的攻击手法，它利用了浏览器的设计缺陷，使得用户很难辨别真伪。我们呼吁浏览器厂商尽快修复这些漏洞，并加强对Fullscreen API的权限管理，以保护用户的安全。”
-
网络安全顾问： “这种攻击手法再次提醒我们，网络安全无小事。用户需要时刻保持警惕，不要轻易相信任何弹出的登录页面。同时，企业也应该加强员工的安全意识培训，提高员工的防范意识。”
-
信息安全研究员： “Fullscreen API的安全问题已经存在很长时间了，但一直没有得到足够的重视。希望这次事件能够引起浏览器厂商的重视，并采取有效的措施来解决这个问题。”
浏览器厂商的回应
针对SquareX的报告，部分浏览器厂商已经做出了回应。
-
谷歌Chrome团队： “我们已经意识到了Fullscreen API的安全问题，并正在积极研究解决方案。我们计划在未来的版本中加强对Fullscreen API的权限管理，并改进全屏提示，以提高用户的安全意识。”
-
微软Edge团队： “我们非常重视用户的安全，并正在与SquareX合作，共同解决这个问题。我们将在未来的版本中修复相关的漏洞，并加强对Fullscreen API的监控。”
-
苹果Safari团队： 截至发稿时，苹果尚未对此事做出公开回应。
对未来网络安全的启示
“Browser in the Middle”攻击事件再次提醒我们，网络安全形势日益严峻，攻击手法层出不穷。用户需要不断提高自身的安全意识，学习新的防范技巧，才能更好地保护自己的账号密码等敏感信息。
同时，浏览器厂商也应该加强对安全漏洞的修复，并改进浏览器的安全机制，以提高用户的安全体验。只有用户和厂商共同努力，才能构建一个更加安全可靠的网络环境。
结论
“Browser in the Middle”攻击的出现，无疑给网络安全领域敲响了警钟。它不仅揭示了浏览器在Fullscreen API设计上的缺陷，也提醒我们，网络安全威胁无处不在，需要时刻保持警惕。
希望通过本文的分析和解读，能够帮助读者更好地了解这种新型攻击手法，并采取有效的防范措施，保护自己的账号密码等敏感信息。同时，也希望浏览器厂商能够尽快修复相关的漏洞，并加强对Fullscreen API的权限管理，以提高用户的安全体验。
在未来的网络安全领域，我们需要不断学习新的知识，提高自身的安全意识，才能更好地应对各种安全威胁，保护自己的数字资产。
Views: 1