Michoacano’s Blog

Hoy me entero de algo muy curioso.

Imagina que eres un anunciante en Internet…

Imagina que puedes abrir una ventana emergente (pop up) que supera cualquier bloqueo…

Imagina que esta ventana puede llenar TODA la pantalla…

Imagina que esta ventana no tiene bordes, ni menúes, ni barras, ni título, ni botones… Ningún medio para cerrarla…

Imagina que la ventana no se puede mover ni minimizar… Sólo desaparece cuando acaba el anuncio o si cierras tu navegador…

Ahora imagina que te dedicas a hacer phishing…

Imagina que puedes usar esta ventana para mostrar en ella lo que quieras… un falso navegador o -por qué no- un falso escritorio para recopilar datos del usuario…

Es posible gracias a java, el descubrimiento fue hecho por Giorgio Maone, que pareciera que tiene fobia de javascript y creo la extensión para firefox NoScript.

La manera de demostrar su fobia es publicando dos demos:

La primera es solamente en javascript usando LiveConnect, sin embargo solo funciona en navegadores que usen Gecko como motor de rendirezado. Uno de ellos es mi amado firefox .

var w = new java.awt.Window(new java.awt.Frame());
var label = new java.awt.Label(”PWNED”);
label.setFont(new java.awt.Font(”Serif”, java.awt.Font.BOLD, 80));
label.setAlignment(label.CENTER);
label.setForeground(java.awt.Color.white);
w.setBackground(java.awt.Color.black);
w.setLayout(new java.awt.BorderLayout());
w.add(label, java.awt.BorderLayout.CENTER);
w.setLocation(0, 0);
var d = java.awt.Toolkit.getDefaultToolkit().getScreenSize();
d.height += 80;
w.setSize(d);
w.setVisible(true);

La segunda demo la hace desde java, desde un applet. Esta funciona en cualquier navegador, siempre y cuando tenga el runtime de java.

Lo mas probable es que este problema no se solucione rápidamente. Muy pronto veremos a muchas páginas haciendo mal uso. El popup regreso mas fuerte que nunca :S.

Links:

Demo 1 en javascript
Demo 2 desde applet