{{#include ../banners/hacktricks-training.md}} # Опис У ситуації, коли **зловмисник** може **контролювати** аргумент **`href`** тегу **` Створіть наступні сторінки в папці та запустіть веб-сервер за допомогою `python3 -m http.server`\ Потім, **доступ** до `http://127.0.0.1:8000/`vulnerable.html, **натисніть** на посилання і зверніть увагу, як **URL** **оригінального** **веб-сайту** **змінюється**. ```html:vulnerable.html

Victim Site

Controlled by the attacker ``` ```html:malicious.html ``` ```html:malicious_redir.html

New Malicious Site

``` ## Доступні властивості У сценарії, коли відбувається **крос-доменний** доступ (доступ через різні домени), властивості екземпляра класу **window** JavaScript, на який посилається об'єкт **opener** JavaScript, доступні для зловмисного сайту обмежені наступними: - **`opener.closed`**: Ця властивість використовується для визначення, чи було закрито вікно, повертаючи булеве значення. - **`opener.frames`**: Ця властивість надає доступ до всіх елементів iframe у поточному вікні. - **`opener.length`**: Кількість елементів iframe, присутніх у поточному вікні, повертається цією властивістю. - **`opener.opener`**: Посилання на вікно, яке відкрило поточне вікно, можна отримати через цю властивість. - **`opener.parent`**: Ця властивість повертає батьківське вікно поточного вікна. - **`opener.self`**: Доступ до самого поточного вікна надається цією властивістю. - **`opener.top`**: Ця властивість повертає найвищу вікно браузера. Однак у випадках, коли домени ідентичні, зловмисний сайт отримує доступ до всіх властивостей, які надає [**window**](https://developer.mozilla.org/en-US/docs/Web/API/Window) JavaScript об'єкт. # Запобігання Інформація про запобігання задокументована в [HTML5 Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/HTML5_Security_Cheat_Sheet.html#tabnabbing). ## Посилання - [https://owasp.org/www-community/attacks/Reverse_Tabnabbing](https://owasp.org/www-community/attacks/Reverse_Tabnabbing) {{#include ../banners/hacktricks-training.md}}