facebook - 越过 Facebook 的 iframe block

Question

在 Facebook 上，他们似乎有一个阻止您加载他们网站的 iframe 的 block 。

当您这样做时，他们会锁定其网站的全部功能 example .

我只是想知道是否有人知道如何绕过它？

Answer 1

如果他们不阻止这一点，攻击者可以将 Facebook 页面加载到透明的 iframe 中，并在其下方放置一些有趣的内容。假设受害者已登录 Facebook，然后访问攻击者的网站(一段时间后，在另一个选项卡中)。

受害者将点击攻击者网站上的某些内容。但实际上它是点击透明的 iframe 并触发 facebook 网站上的一些操作。浏览器当然会将 session cookie 发送到 Facebook，Facebook 会看到登录用户的合法操作。

维基百科有一篇关于点击劫持的文章:http://en.wikipedia.org/wiki/Clickjacking

可以使用非官方的 X-Frame-Option http header 来阻止这种攻击，如上所述 http://www.webmasterworld.com/webmaster/4022867.htm不幸的是，并非所有浏览器都支持它，因此还需要一个破帧 java 脚本。