浏览器的地址栏，是通往神秘赛博世界的一道门。

打开门，也许是你早已心仪已久的一家购物网站，也可能是一些你无法预料的场景：

或是闪着红色小灯的发廊线上版

或是各色骰子在飞舞旋转，向你招手

或是一个简单的拒绝：404

你恍若闯入了一个神奇的大观园，不知道接下来的是一个人，还是一条狗，或者两者都是。

这绝不是一次你想要的惊险刺激的冒险，你以为这是小朋友突然翻了一次墙么？

赛博世界，我想要知道我在哪，我去哪。

腾讯玄武实验室技术专家徐少培说，在现代浏览器中，地址栏是唯一可靠的指示器。

如果地址栏上出现了问题，后续所见到的Web页面，可信任的体系将全部崩塌。

雷锋网(公众号：雷锋网)决定，先上个数据震撼一下你。

上周，Chrome发布了最新的版本，在安全漏洞当中，其中有16个漏洞由外部人员提交。在这16个漏洞当中，中高危漏洞占了12个，获得了谷歌的漏洞奖励。在这12个漏洞当中，有3个漏洞是地址栏上的漏洞，也就是说，Chrome浏览器作为目前业界公认的最安全的浏览器，其中地址栏上的安全漏洞占比四分之一。

如何帮助人们在上网的时候做出安全决策？浏览器厂商绞尽脑汁。

于是，他们想出了一个办法。

第一个指示灯：安全指示符

很久以前，浏览器厂商搞出了一个安全指示符，就像是一枚路标，告诉你前方是一片坦途还是沼泽丛林。

安全指示符琳琅满目。你可能在地址栏看到的是一把绿色的小锁，也可能是把灰色的大锁，或是一个“地球”。

HTTP 和 HTTPS 又不同，一边是白色符号，而另外一边可能是绿色符号。

不同的符号究竟代表什么？这些符号背后有何深意？你有没有思考过这个问题？

不要伤心，2015年，谷歌曾就此采访过1329人，尴尬的是，大部分人对于HTTPS 这个指示符略有了解，看到有一个锁，就知道可能是加密或者是安全的问题。对于HTTP这个标识符，包括一些专家可能都不太明白是什么意思。

看到这里你应该高兴，看，你又比专家多懂了一点点。

当你点开这些各种各样的小符号，其实又打开了一片新天地：

内有更多对当前页面权限的设置，包括自己的设置，以及这个网站是否安全等选项。

第二个指示灯：URL

在地址栏挂上安全指示符是安全手段之一，它是一枚路标，而统一资源定位符（URL）才是地址栏的真正主角，告诉你，你在哪，要去哪，相当于一张有定位的地图。

基本URL包含模式（或称协议）、服务器名称（或IP地址）、路径和文件名，如“协议://授权/路径?查询”。完整的、带有授权部分的普通统一资源标志符语法如下：协议://用户名:密码@子域名.域名.顶级域名:端口号/目录/文件名.文件后缀?参数=值#标志。

所谓协议，是有很多的：

http——超文本传输协议资源

https——用安全套接字层传送的超文本传输协议

ftp——文件传输协议

mailto——电子邮件地址

ldap——轻型目录访问协议搜索

file——当地电脑或网上分享的文件

news——Usenet新闻组

gopher——Gopher协议

telnet——Telnet协议

那么，这个URL 有哪些层面可以被黑客改造，导致你去了一个意想不到的地方？也许，我们可以反推一下，不至于着了道。

作为一个连续三次挖掘了chrome 浏览器地址栏漏洞的老司机，徐少培对攻击者可能伪造URL 的手段了如指掌：

1、这些协议在浏览器处理的时候都有可能出现问题。

2、多级域名时，浏览器地址可视为很小，可以把主机的覆盖掉，而显示前面伪装的多级域名主机。

3、对于端口，目前默认的端口是空，或者是无符号16位。如果超过65535，比如说是1万的浏览器端口，如果是ABCD端口会怎么处理呢？

4、Passname，就是后面的目录，有可能会伪造成主机。

5、#号后，浏览器格式在字符串时可能会出现问题，User Name有可能会伪造成主机。

“URL中的任何一个部分，都有可能成为触发地址栏欺诈（URL Spoof）漏洞的攻击向量。”徐少培说。

比如，上述URL，由一个四级域名构成，Passname的路径伪造成了一个类域名的字符串。

在正确的地址栏中显示，不管 URL 有多长，地址栏可视区有多长，都要把正确的源显示出来，这个 URL 中正确的源是evil.com。在前5个显示中，不管怎么变化，都显示了正确的源。对于有逻辑性问题的URL地址栏显示，比如，上图中最下面两个也经常见到，Chrome 就犯过这种错误。

倒数第二个只显示了 URL 最左边的字符串，因为这个 URL 的地址栏长度有限，所以显示不全，看到的是 Bank.com，伪造了一家银行的网址。

倒数第一个只显示了 URL 右边的字符串，隐藏掉了真正的源，所以看到的又是一个假 URL。这种并没有太多技术性操作，这是地址栏的自身逻辑性、显示问题，造成了地址栏欺骗。

老司机的三次连胜：Chrome地址栏之困

事不过三，但是连续 2016年6月、8月、10月 三个最新版本的Chrome 地址栏漏洞被徐少培找到，Chrome 不仅要面带笑容，还要给奖励。

就喜欢看到“看不惯我又干不掉我”的情节。

第一个漏洞：3000美元奖金

从奖金规格可以看出，这是一个比较“完美”的漏洞，所谓的完美就是，哎哟，两个悟空一模一样，根本分不出来谁是谁。

“漏洞呈现的最后攻击效果就是这样的，当用户点击了一个链接，到达了Gmail，但是这个 Gmail 的URL是由攻击者伪装的，页面也是由攻击者伪装的。当你登录 Gmail ，输入用户名和密码时，你的信息就被攻击者获取到了。”

轻而易举，不带一丝一毫的防备。

这个漏洞的原理如何实现？

当用户点击按钮时，打开了一个页面，写下了一堆代码，把这个代码我专门抽出来，用灰色来标识，就是关键代码。这个代码是在当前页面自身又打开了一个窗口，导航到了一个地址，黄色标识的 URL 就是导航地址。但是，这是一个畸形的URL，最后有两个冒号，浏览器基本默认无法去解析，于是漏洞就触发了。

黄色的畸形URL到底后续使浏览器发生了什么？

浏览器的导航机制是这样的，它先判断一下是不是允许跳转到一个页面，当时Chrome碰到这个畸形的URL的时候，它允许去加载，这就是错误的开始。

首先，到了畸形URL的位置的时，当用A标签去打开一个新页面，加载了一个无效地址，这个过程当中浏览器没有任何判断机制和处理措施。

当你同意加载，第二步就开始加载了。当加载了这个畸形URL时，因为加载的是无效地址，根本没有办法去访问。于是，地址栏就处于一个挂载的状态。

加载完以后开始反馈数据，浏览器加载的流程开始返回。因为加载的是一个无效的地址，所以什么也没法返回，只能返回一个空页面，也就是一个空域。但是，此时Chrome挂起状态还停留着，而且还要把挂起的这个地址作为最后的提交地址显现在地址栏中。

页面加载完成，结束，停留在了伪造的页面中。而且，两个冒号会被完全隐藏掉。

这就是犯罪后还顺便清理了犯罪现场，造成什么都没发生的假象！

第二个漏洞：谷歌忽视了边缘协议

“在这个漏洞发现后两个月，我又连续寻找新的漏洞。在被我找到漏洞的53版本修复成54版本上，我在翻协议时发现，针对不同的协议，浏览器有不同处理。”徐少培说。

这个协议是发生在Blob 协议上，Blob 协议是一个二进制文件的容器，Blob URL允许外部应用程序安全访问内存中二进制的文件，也就是说，对于内存中二进制文件的Blog引用。

按照安全同源策略，你不可能直接打开一个你不能控制域的 Blob 的URL，通过这个页面，从视觉感官上是成功打开了谷歌域的Blog的URL，但这其实是伪造的。

如何做到的？

当你点击这个按钮之后，其实首先打开了一个攻击者可控制域的 Blob 的URL，就是图片中黄色关键核心代码。

500毫秒后，在这个页面上写入伪造内容。黄色的关键代码中，@后面的域才是攻击者的域，就是可以控制的，而前面那些都是伪造的。

首先，伪造了一个谷歌字符串，进了大量的空白字符。浏览器遇到这样的字符串、URL。Chrome会怎么处理？Chrome其实犯了一个逻辑上非常严重的错误，一直对 HTTPS、HTTP做了很多限制，而可能对边缘化的协议没有太注意。

其实，它渲染了用户名和密码的部分，就是@符号前面的部分，按理应该不会渲染。即解析，但是在 UI 上不能显示出来。

因为一个URL的用户名和密码一旦被渲染，极有可能被用户认为是这个URL的主机。

比如，列举的这个链接，如果直接全被渲染，@前面的字符串就有可能被认为是这个主机，也就是伪造了这个域名。

在主机前面加入了伪造字符串后，又加入了大量的空白符号，在现在的浏览器当中已经不允许这么做了，大量的空白被解析会被真正的主机的域名覆盖，就冲到后面去了。

Chrome对于Blog协议，按理应该像对待 HTTP 协议这样解析，安全应该做到位。

第三个漏洞：反常规点击，用另一只手吃饭试试？

人们在导航到一个新的网站时，可能都用左键去点击。但你有没有想过，比如点击右键，再点击从新窗口打开这种方式？

真是出其不意的鬼畜！

现实中很少人这么做，但是确实能打开一个新网站，这个漏洞就是通过这种方式去触发了URL欺骗的漏洞。

最后，欺骗的效果就是伪造了谷歌的域，页面内容同样可以被改写，这个漏洞因为触发起来可能需要的一个小交互，所以当时只给了500美元的奖励。

徐少培解释完最后一个漏洞，说起500美元，一副轻描淡写的样子。

剩下三次被“击中”的谷歌chrome哭晕在厕所。

微信公众号搜索" 驱动之家 "加关注，每日最新的手机、电脑、汽车、智能硬件信息可以让你一手全掌握。推荐关注！【微信扫描下图可直接关注】

阅读更多：网站

好文共享：