{{#include ../banners/hacktricks-training.md}} # Beskrywing In 'n situasie waar 'n **aanvaller** die **`href`** argument van 'n **` Skep die volgende bladsye in 'n gids en voer 'n webbediener uit met `python3 -m http.server`\ Dan, **toegang** `http://127.0.0.1:8000/`vulnerable.html, **klik** op die skakel en let op hoe die **oorspronklike** **webwerf** **URL** **verander**. ```html:vulnerable.html

Victim Site

Controlled by the attacker ``` ```html:malicious.html ``` ```html:malicious_redir.html

New Malicious Site

``` ## Toeganklike eienskappe In die scenario waar 'n **cross-origin** toegang plaasvind (toegang oor verskillende domeine), is die eienskappe van die **window** JavaScript klasinstansie, waarna verwys word deur die **opener** JavaScript objekverwysing, wat deur 'n kwaadwillige webwerf verkry kan word, beperk tot die volgende: - **`opener.closed`**: Hierdie eienskap word gebruik om te bepaal of 'n venster gesluit is, wat 'n booleaanse waarde teruggee. - **`opener.frames`**: Hierdie eienskap bied toegang tot alle iframe-elemente binne die huidige venster. - **`opener.length`**: Die aantal iframe-elemente wat in die huidige venster teenwoordig is, word deur hierdie eienskap teruggegee. - **`opener.opener`**: 'n Verwysing na die venster wat die huidige venster geopen het, kan deur hierdie eienskap verkry word. - **`opener.parent`**: Hierdie eienskap gee die ouervenster van die huidige venster terug. - **`opener.self`**: Toegang tot die huidige venster self word deur hierdie eienskap verskaf. - **`opener.top`**: Hierdie eienskap gee die boonste blaaivenster terug. E however, in gevalle waar die domeine identies is, verkry die kwaadwillige webwerf toegang tot alle eienskappe wat deur die [**window**](https://developer.mozilla.org/en-US/docs/Web/API/Window) JavaScript objekverwysing blootgestel word. # Voorkoming Voorkomingsinligting is gedokumenteer in die [HTML5 Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/HTML5_Security_Cheat_Sheet.html#tabnabbing). ## Verwysings - [https://owasp.org/www-community/attacks/Reverse_Tabnabbing](https://owasp.org/www-community/attacks/Reverse_Tabnabbing) {{#include ../banners/hacktricks-training.md}}