aboutblank是什么意思,about:blank 安全风险

题图来自Unsplash，基于CC0协议

导读

当你在浏览器地址栏输入一个网址，或者点击一个链接时，有时你会看到一个纯白的屏幕，地址栏显示着 about:blank。这个看似奇怪的字符串实际上是在互联网和万维网中扮演着特定角色的“元”页面或 URI（统一资源标识符）的标志。理解 about:blank 对于了解浏览器的工作方式以及一些常见浏览器行为是很有帮助的。

关于 about:blank 的基本含义

about:blank 是一个特殊的 URI，它的核心指令是“显示空内容”。顾名思义，当你访问这个地址时，浏览器建立连接所需的基本框架和安全限制（如有）是初始化的，但它不会加载任何特定的网页，也不会执行任何默认动作。这与访问一个常规的网站 URL（例如 https://www.example.com）完全不同；后者会加载特定服务器上的完整网页。

在浏览器中的用途

about:blank 不仅仅出现在你天真地打开浏览器窗口的那一刻，它在浏览器的内部工作流程中有多种用途：

1. 初始或重置显示： 是浏览器最常用 about:blank 的地方。当你第一次打开浏览器窗口，或者使用像“重新加载”、“停止”、“使用当前 URL 导航”或快捷键 Ctrl+L（或 Cmd+L）等命令清空地址栏，然后按回车时，浏览器本质上就是通过导航到 about:blank 来清空当前内容并准备一个新的导航。
2. 干净的画布： 有时开发者需要在一个不带任何特定内容、但有可用上下文（比如当前的 Cookie 或 JS 执行环境）的 iframe 或其他元素中启动一个页面或脚本。在这种情况下，指向内部某个标签页或框架内的 about:blank UI 可以提供一个干净的起点。注意，尽管页面是“空白”的，浏览上下文环境可能不是零，这点很重要。
3. 导航事件的目标： 当页面上的用户触发了动作（比如点击了提交按钮），或者 JavaScript 代码执行了导航命令（比如 window.location.href 或 history.pushState 等），而目标 URL 或导航类型没有提供具体内容时，浏览器引擎可能会利用 about:blank 来代表一个无效或者没有提供 URL 的状态，并处理相应的错误。
4. 浏览器内部功能： about:blank 也可能是浏览器内部功能点或测试接口的一部分。

关于空白页原理

浏览器是如何通过 about:blank 显示一个空白或灰色的页面的呢？它并非什么神奇的后门，而是浏览器正常初始化其核心功能的方式。当你访问 about:blank 时：

• 浏览器会初始化与一个虚拟 “空” 文档相关的所有必要组件。
• 它会设置基本的安全政策（例如，对于大多数 about:blank 导航，禁止与包含它的页面进行跨域通信，以防止篡改问题）。
• 接着，它会呈现一个被设计为表示“没有内容加载”的 UI 界面，通常是一个纯白或带灰色的背景。这个 UI 是由浏览器引擎根据上述“空”文档和基本功能状态渲染出来的。
• 因此，你可以将 about:blank 页面理解为浏览器确认基本安全约束并正确初始化其功能的一个状态点。

与 about:newtab 的区别

有时你会在开启一些特定模式或隐藏设置的情况下看到 about:blank 在浏览器中显示，默认的新标签页页面可能就是 about:blank 的看起来像新标签页的 UI，尽管它不一定正是 about:newtab 页面。更常见和官方支持的替代是 about:blank 和 about:newtab。

about:newtab (如果被正式支持) 实际上并不是一个由规范定义的严格意义上的 “about” URI，但它通常指向浏览器默认的新标签页页面。目前状况是：

• 对于很多浏览器，访问 about:newtab 仍然可能显示的是 about:blank 并带有浏览器默认的新标签页界面（这实际上是一种变通或特定于实现的行为）。
• 直接的新标签页导航（通常是 chrome://newtab 或类似的 URI，取决于浏览器引擎和具体实现）以及像 Edge、Chrome 和一些第四方 chrome-extension:// URL 也可能用来实现类似新标签页的功能。

关于安全风险

将 about:blank 与安全风险联系起来通常不太直接。about:blank 本身由浏览器解释和利用，它不是一个会发送或接收恶意数据或脚本的普通网站 URL。然而，在某些非常规或恶意的场景下，它可能会被用来：

• 混乱导航或覆盖敏感区域： 恶意脚本或网页可能会使用 about:blank 来混淆导航历史或覆盖某些特定的安全警报对话框/区域，使得攻击更难以被追踪或阻止。
• “空白”伪装钓鱼： 某些欺骗性网站或恶意软件可能会利用用户看到空白页面的心理，隐藏其恶意活动。例如，可能会创建一个指向自己内部特定“空”页面的链接，伪装成官方 about:blank 或其他东西来迷惑用户。
• 此外，一些驱动程序或技术工具（如 Mimikyu、Responder 等，常用于提权或窃取票据凭证）会利用类似于 about:blank 的 URL 方式来尝试拦截 NTLM 身份验证凭据。但用户直接交互的是 about:blank 页面时，除非用户输入了带有域名的路径（如 about:blank?destination=...），这通常不是直接的用户安全风险。
• 浏览器漏洞： 极少数情况下，浏览器可能存在一些处理 about:blank 导航的漏洞，这可能被利用，但这与此页面本身的风险不同。

总的来说，about:blank 是一个非常基础和安全的浏览器元指令。任何与 about:blank 相关的可疑行为更可能是因为恶意软件、攻击工具，或者浏览器本身（或扩展）的故障/复杂互动。

总结

about:blank 是互联网和浏览器世界中的一个小但重要的角色。它代表了“显示空内容”的指令，是浏览器在特定场景下（如初始加载、重置导航）的标准做法。了解它的工作原理和与其他页面（如 about:newtab）的区别，有助于更好地理解浏览器内部机制和一些看似奇怪的空白页面现象。尽管它本身不是安全威胁，但在利用浏览器漏洞或进行混淆的恶意活动中，它可能扮演一个复杂的工具或中间步骤的角色。