常见的弱点枚举

如果攻击者可以导致UI显示错误的数据,或否则说服用户显示信息,似乎来自可信的源,那么攻击者可以诱骗用户执行错误的行动。这通常是一个组件在网络钓鱼攻击,但其他类型的问题存在。例如,如果UI用于监视系统或网络的安全状态,然后省略或模糊会阻止用户一个重要指标检测和应对一个强调安全的事件。

UI误传可以采取多种形式:

• 错误指示器:显示不正确的信息,它可以防止用户了解产品的真实状态或环境产品监测,尤其是有潜在危险的条件或操作。这可以分为几种不同的亚型。
• 的叠加:一个区域显示旨在提供关键信息,而另一个进程可以修改显示覆盖另一个元素上。用户没有与预期的交互部分的用户界面。这就是问题所在,使“点击劫持”袭击,尽管许多其他类型的攻击涉及覆盖的存在。
• 图标操作:错误的图标,或错误的颜色指示器,可以影响(如制造危险的. exe可执行像一个无害的gif)
• 时间:产品执行状态转换或上下文切换,呈现给用户一个指标,但竞态条件可能会导致错误的指示使用产品之前已经完全切换上下文。比赛窗口可以无限期延长,如果攻击者能够引发一个错误。
• 视觉截断:显示重要的信息可能会被截断,如有危险的长文件名扩展不显示在GUI因为恶意部分截断。使用空白过多也会导致截断,或者把潜在的危险指标以外的用户的视野(如。“文件名。txt . exe”)。时可能发生不同类型的截断一部分信息删除由于长度以外的其他原因,如意外插入end-of-input标记在中间的一个输入,如空字节在c风格的字符串。
• 视觉区别:视觉信息可能呈现的方式为用户很难快速、正确区分重要的和不重要的显示。
• 同形异义词:不同字符集的来信,字体,或语言会显得非常相似(即可能视觉等价的),导致人类用户误读文本(例如,进行钓鱼攻击诱骗用户访问恶意网站看起来很相似的名称作为受信任站点)。这可以被看作是一种视觉的区别问题。

该清单显示了给定的弱点可以可能的地区出现。这些可能是为特定命名的语言,操作系统,架构、模式、技术、或一个类这样的平台。列出的平台是随着频率的出现疲态实例。

语言