修复的错误可以允许攻击者提取敏感信息
最近在铬浏览器中进行的安全漏洞使攻击者可以绕过防止悬挂标记注射的保障措施，这是一种从网页中提取敏感信息的攻击。beplay体育能用吗
尽管悬空的标记注射众所周知，并在铬浏览器中找到 -新攻击利用了浏览器升级不安全HTTP连接的未解决情况。
提取敏感的标记
悬空标记注射在满足的情况下捕获数据交叉域跨站脚本（（XSS）攻击是不可能的。
如果应用程序在将用户提供的数据集成到标记中之前没有对其进行消毒，则攻击者可以利用该页面将页面的某些标记发送到其自己的服务器。
例如，攻击者可以注入HTML标记，其中包括专门制作的元素在攻击者的服务器上调用资源并将页面上的HTML标记作为查询字符串发送到服务器。
铬团队一直修补悬空的标记注射错误自2017年以来，并增加了限制，以逃脱或删除插入URL字符串中的HTML标记。
安全连接，不安全的标记
铬还具有另一个安全功能，该功能升级了HTML标记中使用的不安全HTTP协议。
例如，如果SRC属性标签是指HTTP地址，浏览器会自动将其升级到HTTPS以执行加密的连接。
Seungju哦，安全性研究员他报告了新错误，发现当浏览器将页面上的URL从HTTP升级到HTTPS时，它绕开了悬空的标记注射保障。
结果，如果攻击者提供了使用HTTP方案的悬挂式标记注射字符串，则当URL升级到HTTPS时，它将不会经过悬空的标记注射消毒过程。
哦，提供了一个概念证明标签，但还说同一方案与音频，视频以及可能的标签一起使用。
“这允许攻击者通过安全元素（例如安全元素）（例如CSP，”哦写道。
根据Chromium Bug报告平台中的对话线程，将URL协议转换为HTTPS的函数导致悬挂的标记标志变为false，进而绕过URL字符串上的安全检查。该错误已在新版本的基于铬的新版本中进行了修补浏览器。
这些发现进一步强调了在将用户输入集成到标记中之前对用户输入进行消毒的必要性。
这也提醒人们管理具有许多活动部件的产品安全性的复杂性。
有时，由于Chromium的最新悬挂标记注射脆弱性显示，该程序的一个部分中的安全修复可能会破坏另一个程序的保障措施。
