[新奇玩意] 路由器 XSS 讓你無處可躲

隨著行動設備的大量普以及隨時隨地上網的人數越來越多，地理位置資訊的應用也越來越熱門。雖然這類資訊可能讓個人的行蹤被其他人一覽無遺，但是因為這些資訊的開放大多是屬於使用者自行所決定，所以反對份子所能夠持有的立場往往顯得較為薄弱，對於一般人而言也還不致於造成過多的擔憂。但是，如果這類資訊的開放並不是使用者自願的，甚至是在使用者不知情的情況下所發生，結果或許就會有很大的轉變。

Samy Kamkar 在他自己的網站上發表了一個概念驗證的手法，他利用路由器的漏洞取得用戶端電腦的網卡卡號，然後再使用 Firefox Location-Aware Browsing 的功能，就可以在不知不覺的情況下取得使用者所在的位置。不過他的範例只針對特定的路由器才有作用，所以對於一般人倒是還沒有立即的危害。只是取得網卡卡號並不是只有一種方法，所以其所可能衍生的問題依舊不可小覷。

 

相關連結：

• Mapping a web browser to GPS coordinates via router XSS + Google Location Services without prompting the user