江苏
关键词
安全漏洞
安全研究人员披露苹果Safari浏览器存在设计缺陷，攻击者可利用全屏模式实施“浏览器中间人攻击”（BitM）窃取用户凭证。该漏洞源于网页通过Fullscreen API进入全屏模式时，Safari缺乏明确警示机制，使恶意窗口得以隐藏地址栏并伪装成合法登录页面。
网络安全公司SquareX指出，攻击者通过滥用全屏API实现三重欺骗：
利用noVNC等开源工具在受害者会话层叠加远程控制浏览器
通过赞助广告/社交媒体推送伪造目标服务登录页链接
当用户点击登录按钮时激活隐藏的BitM窗口
典型案例显示，攻击者伪造Steam和Figma登录页诱导用户输入凭证。由于登录过程实际发生在攻击者控制的浏览器中，受害者仍能正常登录账户，难以察觉信息泄露。值得注意的是，此类攻击能规避端点检测（EDR）及安全访问服务边缘（SASE/SSE）等防护方案。
浏览器防护机制对比显示：
Firefox/Chrome/Edge进入全屏时强制弹出警示框
Safari仅显示易被忽略的滑动动画
SquareX研究人员强调：“尽管所有浏览器均受影响，但Safari因缺乏视觉警示使攻击更具欺骗性。”
苹果公司收到漏洞报告后回应称“无意修复”，认为现有动画提示已足够。目前安全社区正推动苹果重新评估该决定。
安全圈
网罗圈内热点 专注网络安全
实时资讯一手掌握！
好看你就分享 有用就点个赞
支持「安全圈」就点个三连吧！
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
