「SMBC「簡単！やさしいセキュリティ教室」」記事へのコメント

リンクのフィッシング

[Anonymous Coward]

問題3 [smbc.co.jp]の(1)は、文面に表示してあるURLとリンク先が違う、というものです。HTMLのソースはおそらくこういう風になっていると思います。

<a href="http://xxx/123.123.123/">https://direct.smbc.co.jp/</a>

数年前と違って、普通のメーラーはjavascriptがデフォルトでオフになっていますから、ここはこれでいいのです。

しかし、これがブラウザに表示されたhtmlなら、もう少し注意が必要です。

昔よくあったのが、直接ステータスバーを詐称するものです。

<a href="http://xxx/123.123.123/"
   onmouseover="window.status='https://direct.smbc.co.jp'">...</a>

これは、すぐ見破ることが可能です。

で、現在よくあるのが、

<a href="https://direct.smbc.co.jp/"
   onclick="this.href='http://xxx/123.123.123/'">...</a>

というタイプ。
リンクをたどろうとした瞬間に、リンク先が（悪意のあるサイトへ）変更されます。

分けて書く事もできます。
（Mozilla系の例）

<script type="text/javascript">
  document.getElementsByTagName("a")[0]
          .addEventListener
            ("click", function (event) {
                        event.target.href = "http://xxx/123.123.123/";
                      });
</script>
 
<a href="https://direct.smbc.co.jp/">...</a>

これをやられると、ブラウザ側では対策が難しいと思います。アンカーは、クリック直前まで、あらゆる意味で健全ですし。もうちょっと巧妙に書けば、ソースを見ても、まず、わからないようにできるでしょう。

つまり、ブラウザの場合、サイトに悪意があれば、クリックする前にリンク先を知ることは、ほぼ不可能なんです。ツールチップやステータスバーは、全く当てになりません。だって、それらを表示している時点では、まだ健全なんですから。有効な対策はjavascriptをオフにする事ですけど、もちろん、こんなことは万人に薦められません。お手上げです。実際に踏んでみてアドレスバーを確認するしかありません。

実は、これ、つい最近まで、Googleが無差別にやってました。Googleの検索結果も、リンクをクリックする直前までは、ごく真っ当な、見かけ通りのリンクです。しかし、リンクをクリックした瞬間にGoogleのcgiへリンク先が変更されて、一旦そこを経由した後、改めて本物のサイトへとリダイレクトされるようになっていたのです（注：参照数をカウントするため）。現在は、サインアップした人だけ釣っています。

ちなみに、Googleの場合は、フィッシングが甘い（褒め言葉）ので、ログインしたあと、検索結果を右クリックしてからポイントすると、真のリンク先(googleのcgiのアドレス)がステータスバーに表示されるようになります(私のFirefoxの場合)。

Re:リンクのフィッシング

[bero (5057)]

参考になる＋１
だれかモデよろしく

Re:リンクのフィッシング

[Anonymous Coward]

リンクの書き換えを禁止する方法ってないのでしょうか…
FirefoxだとJavaScriptによる画像の変更やステータスバーの書き換えを禁止できますよね。

Re:リンクのフィッシング

[Anonymous Coward]

自己レス

http://www.mozilla-japan.org/projects/security/components/ConfigPolicy... [mozilla-japan.org]
ここを参考にしてみたのですが、以下のような記述で大丈夫でしょうか？
識者の方、アドバイスをいただければありがたいです。

user_pref("capability.policy.default.HTMLAnchorElement.href", "noAccess");
user_pref("capability.policy.default.HTMLAnchorElement.attributes", "noAccess");
user_pref("capability.policy.default.HTMLAnchorElement.getAttribute", "noAccess");
user_pref("capability.policy.default.HTMLAnchorElement.getAttributeNS", "noAccess");

Re:リンクのフィッシング

[Anonymous Coward]

user_pref("capability.policy.default.HTMLAnchorElement.href", "noAccess");
user_pref("capability.policy.default.HTMLAnchorElement.attributes", "noAccess");
user_pref("capability.policy.default.HTMLAnchorElement.getAttribute", "noAccess");
user_pref("capability.policy.default.HTMLAnchorElement.getAttributeNS", "noAccess");

もしよろしければ、これをどこに書けばいいのか、教えてもらえないでしょうか? 挙げられているサイトからは、user.js に書けば良さそうなのですが、それをどこ置けばいいのか、判らなかったもので。

Re:リンクのフィッシング

[Anonymous Coward]

prefs.jsと同じ場所です。
でもその記述で良いかどうか自信がない（苦笑

Re:リンクのフィッシング

[Anonymous Coward]

#845827のACです。
ありがとうございます。
まだ見てもらっていて助かりました。

>でもその記述で良いかどうか自信がない（苦笑

  大丈夫そうには見えますけど、話題が話題だけに、
識者からフォローが入ると助かりますね。

Re:リンクのフィッシング

[Anonymous Coward]

えと、getAttribute(NS)?を弾くのはあまり意味がありません。やるんなら、setAttriubteの方ですね。

ただ、clickイベントを握っていれば、hrefをいじらずに移動する事もできるわけですから、根本的な対策にはならないですね。hrefだけをいじる方がばれにくいという話なんですけど。対Googleを考えているなら、それで十分ですが。

Re:リンクのフィッシング

[Anonymous Coward]

>えと、getAttribute(NS)?を弾くのはあまり意味がありません。やるんなら、setAttriubteの方ですね。

こうですか?
=======この下=======
user_pref("capability.policy.default.HTMLAnchorElement.href", "noAccess");
user_pref("capability.policy.default.HTMLAnchorElement.attributes", "noAccess");
user_pref("capability.policy.default.HTMLAnchorElement.getAttribute", "noAccess");
user_pref("capability.policy.default.HTMLAnchorElement.getAttributeNS", "noAccess");
user_pref("capability.policy.default.HTMLAnchorElement.setAttribute"