javascript - 包含第 3 方 iFrame 的安全风险

Question

包含隐藏的第 3 方 iFrame 的应用程序安全风险是什么？

如果我没理解错的话...

• 点击劫持对我来说不是问题，因为我拥有父页面
• 同源策略阻止 3p 框架与我的 dom/cookies/js 交互
• 框架是隐藏的，所以我不必担心框架中可能显示的任何内容

但是我在 Chrome 控制台做了一些实验并且...

• 3p frame可以调用alert/prompt之类的东西
• 3p 框架可以通过 location.href 重定向父节点
• 3p 框架内的恶意软件 (java/flash/activeX) 可能会感染我的用户

我很想看到可能出现的问题和任何缓解措施的列表，但我找不到好的信息来源。

那么...包含隐藏的第 3 方 iFrame 的应用程序安全风险是什么？

Answer 1

如果您在网站上实现 Iframe，您可以使用 sandbox在 HTML5 的 iframe 中标记以防止您自己/其他人访问您的网站。

来源:http://www.whatwg.org/specs/web-apps/current-work/multipage/the-iframe-element.html#attr-iframe-sandbox

我不知道它有多有效(沙箱功能)，但它声明它可以限制 iframe 内的脚本、表单等。

<iframe sandbox="" src="www.example.com"/>

虽然不是一种有保证且有效的方法，但它是许多不同方法中的一种。不过，就您而言，您可以使用 NoScript 等附加组件来阻止某些/所有脚本运行。

如您所说，第 3 方 iframe 可能会利用诸如驱动下载、浏览器利用等漏洞来获取对您的操作系统的访问权，甚至更多。

另见此处:Why are iframes considered dangerous and a security risk?

希望这对您有所帮助。