一种结合本地程序的更加猥琐的钓鱼方式（中招率+100%）
我是小号 (我是小学生) | 2013-11-05 18:58
因为现在程序员偷懒，都喜欢把一些实现软件功能的html放到程序的默认文件夹下面，比如某浏览器在实现网页快照页面的功能的时候背景页面是使用的一个本地的html文件，当然这个Html文件在整个加在过程浏览器中并没有check md5，我们可以使用一个后台静默自解压文件替换掉这个html
钓鱼网站制作者可以copy一份这个html出来，修改其中内容，加一段
<script>location="http://钓鱼网址/"</script>
然后做一个后台静默的自解压然后加上一个什么游戏的破解补丁啊，什么MM聊天神器啊，啥的，在网上传播，中招者运行这个程序以后自动替换其安装目录下面的用来实现相关功能的html，当用户使用相关功能的时候浏览器加载这个已经被替换的html文件，然后浏览器自动跳转到钓鱼网址，当然这个钓鱼网站你可以模仿的逼真一点，比如我拿的是某浏览器的网页快照做的例子，我们就可以在页面里面仿冒这个公司的个人中心登录界面，并且弹出提示要登录以后才能云备份快照网页，我想大多数人都会不假思索的把帐号密码填去吧。谁会怀疑这个呢？
Ps.
我已开始认为这是这个浏览器存在漏洞，可是他们并不认为这是他们的问题，他们认为是这个恶意程序的问题，恶意程序要利用，他们也没办法。
可能是我的知识太浅薄了吧，我就把这个思路发上来分享吧。
相关讨论：
1#
liyang (<script>alert("xss")</script>) | 2013-11-05 19:18
这种东西还有类似的dll劫持 不好界定的~~
2#
我是小号 (我是小学生) | 2013-11-05 19:22
@liyang 嗯，是有点，不过钓鱼起来很爽···
3#
法海 | 2013-11-05 20:58
没有看懂啊，都已经可以给安装程序了，结果就替换了个网页，有点屈才的感觉啊
4#
z7y (我从前有个很好的小伙伴，他叫VIP，后来他死了。) | 2013-11-06 00:15
@法海 是啊是啊,法海亲~你经书念多点啊~多上Q教我ＴＡＴ
5#
法海 | 2013-11-06 00:53
@z7y 为什么我不能发私信给你啊
6#
z7y (我从前有个很好的小伙伴，他叫VIP，后来他死了。) | 2013-11-06 03:55
@法海 哈哈哈.因为你是酱油党！！
7#
z7y (我从前有个很好的小伙伴，他叫VIP，后来他死了。) | 2013-11-06 03:55
@法海 不要私信嘛。上扣扣跟我玩
8#
红帽子 (白帽子,黑帽子,fedora是个坏帽子) | 2013-11-06 07:40
已经把她推倒，却总是惦记如何亲个嘴。
9#
核攻击 (统治全球，奴役全人类！毁灭任何胆敢阻拦的有机生物！) | 2013-11-06 09:22
你妹啊，你都有权执行 exe 程序了，还搞个毛“替换html”……
10#
jeary ((:.kcaH eb nac gnihtynA)) | 2013-11-06 09:27
@核攻击 我见过这种，替换了我硬盘里所有的html..里面还有VBScript.还能修改注册表。