普遍的弱点

如果攻击者可以使UI显示错误的数据，或者以其他方式说服用户显示似乎来自受信任源的信息，则攻击者可以欺骗用户执行错误的操作。这通常是网络钓鱼攻击中的一个组成部分，但是存在其他类型的问题。例如，如果使用UI来监视系统或网络的安全状态，则省略或掩盖重要指标可能会阻止用户检测和对关键安全事件的反应。

UI虚假陈述可以采取多种形式：

• 错误指标：显示不正确的信息，以防止用户了解软件正在监视的软件或环境，尤其是潜在的危险条件或操作。这可以分解为几种不同的亚型。
• 覆盖：显示区域旨在提供关键信息，但是另一个过程可以通过将另一个元素叠加在其顶部来修改显示。用户没有与用户界面的预期部分进行交互。尽管存在许多其他类型的攻击涉及覆盖层，但这是实现Click Jacking攻击的问题。
• 图标操纵：错误的图标或错误的颜色指示器可能会受到影响（例如使危险的.exe可执行文件看起来像无害的.gif）
• 时间：该软件正在执行通过指示器提交给用户的状态过渡或上下文开关，但是种族条件可能会导致在产品完全切换上下文之前使用错误的指示器。如果攻击者可以触发错误，则可以无限期地扩展比赛窗口。
• 视觉截断：可以从显示屏上截断重要的信息，例如一个长的文件名，其危险扩展名在GUI中未显示，因为恶意部分被截断。使用过多的空格也可能导致截断，或将潜在的危险指示器放置在用户视野之外（例如“ filename.txt .exe”）。当由于长度以外的其他原因（例如，在输入中间的输入末端标记）（例如在C中的NUL字节）中，将一部分信息删除时，可能会发生不同类型的截断。- 风格的字符串。
• 视觉区分：视觉信息可能以一种使用户难以快速，正确地区分显示屏的关键和不重要的段的方式。
• 同谱：来自不同字符集，字体或语言的字母可能会以一种使人用户误读文本的方式看起来非常相似（即可能在视觉上是等效的）恶意网站，具有视觉相似的名称为受信任的网站）。这可以被视为一种视觉区分问题。

该清单显示了可能出现的弱点的可能区域。这些可能适用于特定的命名语言，操作系统，体系结构，范式，技术或一类此类平台。该平台与给定弱点出现在该实例的频率一起列出。

语言