← Back to Index

Address Bar & Permission Origin Spoofing

Full URL spoof · camera/location permission atas nama origin lain

CRITICAL

Test 1 — window.open Race: Full URL Spoof + Camera Permission

window.openrace conditioncamera permission

Membuka tab baru, menulis konten attacker (tampilan Google/target), lalu meminta izin kamera/lokasi sebelum halaman dinavigasi ke target. Di browser yang rentan, address bar menampilkan URL target sementara permission dialog muncul dari origin kami.

Race window: buka tab → document.write konten palsu → request permission → lalu navigate ke target → address bar ter-spoof
Waiting...
CRITICAL

Test 2 — Fullscreen UI Redress: Fake Address Bar + Permission Dialog

fullscreenUI redresspermission spoofing

Masuk ke fullscreen mode (browser chrome hilang), tampilkan UI browser palsu yang menunjukkan URL target. Ketika permission diminta, real permission dialog muncul — tapi user melihat fake UI yang menunjukkan google.com sedang meminta akses.

Pada mobile browser: fullscreen menutupi address bar asli. Fake UI menampilkan "google.com" meminta kamera.

Waiting — klik untuk mulai fullscreen spoof...
HIGH

Test 3 — blob: URL Full Origin + Permission Request

blob: URLpermissionorigin mismatch

Buka halaman via blob: URL yang menampilkan konten target (google.com UI). Dari blob: URL, minta akses kamera/lokasi. Address bar menampilkan blob:https://browser.zkey0.com/... tapi permission dialog menunjukkan browser.zkey0.com meminta izin, sementara halaman terlihat seperti google.com.


Waiting...
MEDIUM

Test 4 — history.pushState Full URL Attempt + Immediate Permission

pushStatecross-origin attemptpermission race

Mencoba history.pushState ke URL cross-origin (akan diblock). Lalu request permission segera setelah pushState — pada beberapa browser lama/mobile, terdapat window di mana address bar belum diupdate saat dialog permission muncul.

Waiting...
HIGH

Test 5 — iframe allow="camera" + Fake Parent UI

iframe allowdelegationUI overlay

Parent page menampilkan fake Google UI. Di dalamnya ada iframe dengan allow="camera microphone geolocation". Ketika iframe request permission, dialog muncul atas nama origin iframe (browser.zkey0.com), bukan yang terlihat di fake UI.

Waiting...