target="_blank" のセキュリティリスク(デモ動画あり)

HTMLを勉強する際に最初に覚えるものの1つにa要素(タグ)があります。HTMLのアイデンティティと言っても過言ではない、ハイパーリンクを実現する大事な要素です。 href属性に設定されたリンク先のURLをどのウィンドウ等に表示するかを決めるtarget属性というものがあります。任意の値を設定してウィンドウに名前を付ける事で、複数のa要素から同じウィンドウへリンク先URLを表示する事もできますし、常に新しいウィンドウを開く_blankのような、あらかじめ挙動が設定されている値もあります。 target="_blank" のセキュリティリスク リンクの開き方を決定するtarget要素ですが、この挙動を利用してリンク先からリンク元のウィンドウを操作できるというセキュリティリスクが公開されています。 Target="_blank" - the most underestimated vulner

[mochinaga]

”別窓で開くかはユーザーに判断させろ”って意見あるけど、別窓で開く方法を知らないユーザーが多いんだな、これが。

[burnworks]

なんで結構前の話題が今さらブクマされてんのかわかんないけど noopener に関して言えばこの前 Firefox 52 でサポートされましたので足並みそろいました

[qtamaki]

ユーザ投稿のリンクをtarget=_blankで開いているサイトに釣りサイトのURLを投稿させて開いたページを見ている間にopennerを偽ログインページに変更。ユーザが「あれ？セッション切れた？」とidpass入れたら釣り完了

[rikuo]

cf. https://blog.jxck.io/entries/2016-06-12/noopener.html

[vanish_l2]

別ウィンドウで開いて欲しいってユーザーもいるのだから業が深いよなぁ

[aodifaud09]

readonlyでない意味がわからない。これJavaScriptの仕様のバグじゃないの。

[bootJP]

http://b.hatena.ne.jp/entry/286789000/comment/bootJP

[KeitaroKitano]

ターゲットアマゾンアプリはやめてほしい

[amebloger-x]

これFacebookでは既に対応してるけど、Google+ではまだ対応出来てないみたいですね。

[s-tomo]

「同一オリジンポリシー」を確認したところwindow.opener.locationが対象外なのは仕様っぽいんだがこんなん気づかんわ！！

[cibea]

リファラ封じ

[maru0014]

勉強になります

[koudaiii]

“を”

[kirifue]

target="_blank" のセキュリティリスクと対策。 #開発 #セキュリティ

[Cherenkov]

“リンクをクリックしたユーザとしては、「リンク先を見た後に元のタブに戻ったら、なぜかページが変わっていた」という状況になります。”

[nekosann_08]

あとで確認する（忘却

[braitom]

“target="_blank"”使うとリンク先からリンク元のウィンドウを操作できるというセキュリティリスクあり。対策としてrelにnoopenerとnoreferrer付ける。

[wiz7]

要確認

[yoiIT]

なんでこんな変な仕様にしたのか

[windish]

ぬー

[KoshianX]

デフォルト別窓の方が便利なことも多いしねえ。悩ましいな……

[gucchiy]

なるほど！

[sutara_lumpur]

さっそく対策します m(_ _)m

[junjun777]

忘れてたのでブクマ。あと、firefoxも足並み揃ったとのこと。

[fashi]

_blankに限らず発生するけどtarget指定してない場合は機能しないのか… / rel=noreferrerなんて便利な指定があるのを初めて知った <meta name=referrer>でも指定出来るのか

[shimokiyo]

ユーザー投稿型サービス等、不特定多数に発リンクするようなサイトは対応必須の事項。

[yocchi24]

こんなところにリスクがあるとは。

[Journey]

外部リンクは別窓でってのが慣習みたいになってるからなぁ。rel="noopener noreferrer" を加えれば大丈夫って理解であってる？

[ifttt]

エロサイトでよく見るやつだ。最近この方式で飛ばされるページがGoogleとかAmazonのパターン（フィッシングではない）を見たけど、何か恐ろしいことが起こっているのかな？

[deep_one]

通常はユーザーにとってのリスクかと思うが、もしプラットフォーマーなら対策するべきなのか。

[Kil]

エロサイトで使ってそうな雰囲気。

[eedamame]

“ ”

[pokotanu]

偉い人「やっても良いけどコンバージョンとか回遊率が落ちたら責任とれんの？」俺「（めんどくせ･･･）取れません。target=" _blank"つけます」ってやりとりを数ヶ月前にやったわ。もう知らん

[teruroom]

マジか！

[mabushii_sign]

これは知らなかった

[mather314]

怖いな…

[rihohirao]

なんという落とし穴