{{#include ../banners/hacktricks-training.md}} # Opis U situaciji gde **napadač** može da **kontroliše** **`href`** argument **` Kreirajte sledeće stranice u folderu i pokrenite web server sa `python3 -m http.server`\ Zatim, **pristupite** `http://127.0.0.1:8000/`vulnerable.html, **kliknite** na link i primetite kako se **URL** **originalne** **web stranice** **menja**. ```markup:vulnerable.html

Victim Site

Controlled by the attacker ``` ```markup:malicious.html ``` ```markup:malicious_redir.html

New Malicious Site

``` ## Accessible properties U scenariju gde se dešava **cross-origin** pristup (pristup preko različitih domena), svojstva **window** JavaScript klase, na koja se poziva putem **opener** JavaScript objekta, koja mogu biti dostupna zloćudnom sajtu su ograničena na sledeće: - **`opener.closed`**: Ovo svojstvo se koristi da se utvrdi da li je prozor zatvoren, vraćajući boolean vrednost. - **`opener.frames`**: Ovo svojstvo omogućava pristup svim iframe elementima unutar trenutnog prozora. - **`opener.length`**: Broj iframe elemenata prisutnih u trenutnom prozoru se vraća ovim svojstvom. - **`opener.opener`**: Referenca na prozor koji je otvorio trenutni prozor može se dobiti putem ovog svojstva. - **`opener.parent`**: Ovo svojstvo vraća roditeljski prozor trenutnog prozora. - **`opener.self`**: Pristup trenutnom prozoru se obezbeđuje ovim svojstvom. - **`opener.top`**: Ovo svojstvo vraća najgornji prozor pretraživača. Međutim, u slučajevima kada su domeni identični, zloćudni sajt dobija pristup svim svojstvima koja izlaže [**window**](https://developer.mozilla.org/en-US/docs/Web/API/Window) JavaScript objekat. # Prevention Informacije o prevenciji su dokumentovane u [HTML5 Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/HTML5_Security_Cheat_Sheet.html#tabnabbing). ## References - [https://owasp.org/www-community/attacks/Reverse_Tabnabbing](https://owasp.org/www-community/attacks/Reverse_Tabnabbing) {{#include ../banners/hacktricks-training.md}}