https://adragos.ro/fontleak/
摘要
Fontleak是一种新技术，通过使用CSS和精心设计的字体快速从网页中窃取文本。攻击者可以通过注入任意CSS来泄露段落内容和内联脚本中的秘密。这种技术适用于最新版本的Chrome、Firefox和Safari，并绕过DOMPurify。为了保护应用程序，开发人员应使用强大的内容安全策略（CSP）并配置DOMPurify以禁止<style>标签。
关键点
- Fontleak技术利用CSS和字体快速从网页中窃取文本。
- 攻击者可以通过注入任意CSS来泄露段落和内联脚本中的秘密。
- Fontleak技术适用于最新版本的Chrome、Firefox和Safari，并绕过DOMPurify。
- 开发人员可以通过使用强大的内容安全策略（CSP）来保护应用程序。
- Ligatures用于结合多个符号为一个，Fontleak利用这种技术进行数据泄露。
- Fontleak通过定义替换规则来实现字符泄露。
- SVG字体用于定义字符宽度以实现泄露。
- 动态导入技术可以通过控制样式表导入顺序来快速泄露文本。
- Safari的字体链技术通过动态链接字体逐个字符泄露内容。
- 静态方法可以在不允许动态导入的情况下实现可靠的泄露。
- CSS动画可以循环更新伪元素内容以系统地泄露字符。
- Fontleak在一分钟内可以泄露1000个字符，并且可以扩展到其他字母表。