html - 如何突破沙盒 iFrame？

Question

1。问题是什么？

sandbox为 iFrame 添加的属性HTML5 规范中的元素在 modern browsers 中呈现任何帧中断/破坏/杀死方法 null (使用当前版本的 Chrome 和 Safari 测试)如果标志 allow-top-navigation未设置，即使标志 allow-forms和 allow-scripts存在。

2。我尝试了什么？

• 任何可用的 JavaScript 方法，例如 if(top != self)
top.location.replace(位置);

• 在表单上触发提交事件使用 target="_top" 属性

• 触发点击事件具有 target="_top" 属性的 anchor 元素。事实上，具有 target="_top" 属性的 anchor 元素变得毫无用处。因此，建议用户采取行动的好消息也不起作用(如此 Flickr iFrame example 所示)。

3。我想达到什么目的？

我想要一种突破现代浏览器框架的方法，这些浏览器已经为带有标志 allow-forms 和 allow- 的 iFrame 实现了 sandbox 属性脚本存在吗？

他们似乎刚刚将缺失的拼图碎片交给了所有具有此属性的黑帽。

4。我不是在寻找什么？

我正在寻找一个解决方案，它将打破框架。不适用于不会在框架内显示网站(例如 X-Frame-Options response header )或使用 CSS 隐藏正文等的解决方案。

Answer 1

恐怕你找不到解决方案，因为沙箱的重点是你无法突破它。

如果有黑客入侵，供应商会将其归类为安全问题并迅速修补。