Рафай Балоч — независимый исследователь в области IT-технологий нашел уязвимость в мобильных версиях популярных браузерах, с помощью которой можно подменить адрес любого ресурса.
Технология достаточно проста — нужно использовать арабский символ, чтобы подделать любой адрес сайта.
Как это работает на примере. Допустим злоумышленник купил сервер, а у любого хостинга есть IP-адрес, пусть это будет 120.0.0.1. Затем использовал популярный сайт google.com и любой арабский символ, к примеру «ا». Если воссоединить эти звенья в цепочку получается: 120.0.0.1/ا/https://google.com. Перейдя по такому адресу из-за арабского символа адрес станет отображаться в браузере справа налево: https://google.com/ا/120.0.0.1 — такой адрес конечно же будет принадлежать мошеннику, никак не Google.
Подобную уязвимость получилось воспроизвести во всех браузерах, кроме Яндекс.Браузера. Будьте осторожны и всегда используйте проверенные адреса.
Рафай, нашедший уязвимость, сказал, что проблема связана с недочетом многих разработчиков браузеров и злоумышленники использовали её долгое время.
* возможно вам не удастся воспроизвести туже уязвимость, т.к. создатели браузеров быстро закрывают подобные дыры.