地址栏欺骗漏洞是web浏览器中的安全性漏洞，恶意网站可以改动其真正的URL并展现一个弄虚作假的网址而不是原先的合理合法网站地址。
近日，网络信息安全企业Rapid7与塔吉克斯坦安全性科研工作人员Rafay Baloch在7个移动app浏览器app中看到了10个新的地址栏欺骗漏洞，这7个浏览器APP分成是Apple Safari、Opera Touch、Opera Mini、Bolt、RITS、UC Browser和Yandex。
关键技术
漏洞1 PoC
注：setInterval 函数公式的值很有可能会依据浏览器调节以完成合理的URL 欺骗。
图 1: MAC OS HIGH SIERRA 10.13.6 (17G14019)中的地址栏欺骗
图 2: Safari Version 13.1.2 (13609.3.5.1.5) 中的地址栏欺骗
漏洞2 PoC
下边的PoC 证实了yandex 浏览器安卓版和opera touch iOS版本中的根据浏览器的欺骗漏洞：
图 3: Yandex浏览器安卓版中的详细地址欺骗漏洞
图 4: opera touch iOS版本中的地址欺骗漏洞
漏洞3 PoC
下边的PoC 证实了UC 浏览器安卓版和opera touch iOS 版本的根据浏览器的欺骗漏洞：
图 5: UC 浏览器安卓版的详细地址欺骗漏洞
图 6: Opera Touch iOS版的地址欺骗漏洞
漏洞4 PoC
下边的PoC 证实了Opera浏览器iOS 版本中的根据浏览器的欺骗漏洞。数据信息计划方案后的随意URL 会造成URL的保证并开启地址栏欺骗标准。
Spoof 13
图 7: Opera touch 浏览器中的详细地址欺骗漏洞
漏洞5 PoC
下边的PoC 证实UC 浏览器安卓版、Opera浏览器安卓版、RITS浏览器安卓版、及其Bolt浏览器 iOS 版中的详细地址欺骗漏洞：
图 8: UC 浏览器安卓版中的地址欺骗漏洞
图 9: Opera Mini浏览器安卓版中的详细地址欺骗漏洞
图 10: RITS浏览器安卓版中的地址欺骗漏洞
图 11: Bolt浏览器IOS版中的详细地址欺骗漏洞
文中翻譯自：https://www.rafaybaloch.com/2020/10/multiple-address-bar-spoofing-vulnerabilities.html https://blog.rapid7.com/2020/10/20/vulntober-multiple-mobile-browser-address-bar-spoofing-vulnerabilities/倘若转截，请标明全文详细地址。