javascript - 浏览器是否容易通过隐藏在 数据中的 iframe 加载网页？

Question

我想在图片(png、jpg 或 gif)文件中放置一个 iframe 代码。有可能吗？

我想放置这个 iframe 代码，它正在以 0X0 像素加载网站:

<iframe src="http://test.com" height="0" width="0" frameborder="0" scrolling="no">
</iframe>

我正在阅读这篇描述新漏洞的文章:

http://threatpost.com/png-image-metadata-leading-to-iframe-injections/104047

所以基本上，我想要一个工作示例，当有人访问此图像 url 时，可以以 0X0 像素加载网站。

Answer 1

如果您想创建一个由 <img> 加载的 img 文件，简短的回答是否 HTML 标记，将任意 Javascript 或 HTML 代码插入网站，而无需运行任何其他辅助代码。

但简短的回答是是，如果网站已经有恶意或行为不当的代码会解码有效负载，您可以创建一个 img 文件来执行这些操作。

考虑到任何可点击的 javascript:，文章中的报告不是也不是威胁链接可以包含类似的字符串编码 Material 。

文章中的示例要求网站已经加载了单一用途的 Javascript 帮助程序代码。

我想在这里复制代码，但是发布的链接包含代码图像，而不是文本，我们应该尊重他们 Material 的版权。

该代码的第 24 行从 img 中获取原始数据，第 28-31 行通过 javascript 将 img 数据中的文本有效负载组装为字符串 strData它可能包含一个 HTML iframe 语句，并且可以将它添加到网页中，但在这段代码中，它调用了一个回调(第 34 行)或提醒它(第 49 行)，因此看起来更像是一个演示而不是攻击。

虽然它们通常被重定向到垃圾邮件发送者的网站，但此类内容已经存在。

这样的有效载荷可以隐藏在任何长字符串中，并通过各种简单的方式进行编码和解码。

在网站中隐藏 0x0 iframe 听起来像是点击欺诈点击付费广告计划的秘诀，而不是直接欺诈消费者。加载 iframe 时，大多数服务器会将其嵌入的站点显示为引荐来源网址，它看起来类似于链接单击。