<html><head>
<meta content="text/html; charset=ISO-8859-1" http-equiv="Content-Type">
</head><body bgcolor="#FFFFFF" text="#000000">This attack also relies on
 <span style="text-decoration: underline;">the user clicking a malicious
 link</span> ... so presumably this won't work if you start with a clean
 browser session, or even a new tab?<br>
</body></html>