揭秘Web3中X和钱包社工被盗的秘密（二）利用恶意书签拿走你的账户资金

首先我们创建一个书签，然后添加如下的Js代码，在选择网页打开点击书签后触发对应的JS

javascript: (() => { alert('Hello, World!'); })();

可以看到是从当前的域发起的请求，edge和firefox都是一样的

那怎么让别人把这个书签移动到你的浏览器书签呢？根据慢雾的文章截图来说，这里有个诱导文案：

“Drag this to your bookmarked”

如果没有了解过这种攻击手法的受害者想领取一些空投，就很可能误入这种陷阱当中。

攻击者可以构造一个href链接，然后让受害者drag this to bookmarked

<a href="javascript: (() => {   alert('Hello, World!'); })();"> Hello, World!</a>

正如慢雾文章写的一样，在拖入恶意书签的疏忽，会进行弹窗进行二次确认，而chrome浏览器拖入恶意书签的时候，没有进行额外的提示。

发现是 "Javascript: " 这个触发了火狐浏览器的二次弹框

之后尝试了

"javaSCRIPT:(() 以及

"javascript:

"J	a	v	asc
ri	pt:a	l	e	r	t	对Javascript字关键字的变形，都会被火狐浏览器所发现。

相关推特地址：

https://x.com/BTW0205/status/1516701748303343617

https://x.com/iamdoublewan/status/1714126885637259375

相关文章地址：

https://mp.weixin.qq.com/s/2RjEgv9lp6e01ah2t6DX4w

原文始发于微信公众号（Ice ThirdSpace）：揭秘Web3中X和钱包社工被盗的秘密（二）利用恶意书签拿走你的账户资金