Введение
угон, кликджекинг, безопасность, инъекционные атаки, CSRF
босс сегодня刘备Хорошо? Это какой-то сленг в отрасли. Сяо Эр объяснит вам: Лю Бэй всегда называл себя потомком короля Цзина из Чжуншаня. После того, как Цао Цао привел Лю Бэя ко двору, император Сянь Хань признал его своим дядей для того, чтобы завоевать его. Его личность, упоминается как Лю Хуан (Хуан) Дядя (Книга).
Многие взрослые самцы 🐒 часто бродят по黄色сбор в джунглях果实, после еды вы часто обнаружите, что пространство QQ автоматически отправило статус и т. д.灵异事件напуган, чтобы поторопиться账号被盗了，大家不要相信Докажите, что он настоящий, на самом деле, в дополнение к желтым джунглям, многие URL-адреса скрывают много «опасных».
iframe
При ежедневном использовании веб-сайта часто записывается статус входа в систему, чтобы при следующем посещении веб-сайта вам не нужно было вводить пароль.某些方法Имитация того, что пользователь сам открывает веб-страницу, может ли пользователь также不知情в сложившейся ситуации关注а также发文и так далее. старый HTML-тегiframeУ него есть такая функция, как встраивание страницы Baidu Tieba:
<iframe src="http://tieba.baidu.com" style="width: 100%;height:100vh"></iframe>
Подцепить младшую сестру
Если вы вошли в Tieba локально, вы увидитеiframeОткройте страницу Baidu Tieba, и вы все еще вошли в систему. Если вы нажмете и подпишетесь на страницу в это время, это будет успешным. Вы можете сказать, что я не дурак, как я могу кликнуть сам?
Тогда, если на этот разiframeВы все еще видите, что он настроен на прозрачность? Добавьте кнопку, чтобы побудить вас勾搭小姐姐勾搭小姐姐点击劫持
Вот лишь краткое введение点击劫持концепции, если вы зайдете на страницу некоторых опасных операций (перевод, оплата, сброс пароля, аннулирование аккаунта), в случае открытия небольшой суммы беспарольного платежа, это может привести к большим потерям, не зная об этом (почки тяжелая работа).
Он также может сотрудничать с некоторыми другими атаками для выполнения более сложных операций, таких как предыдущаяВсех вместе арестовывают.УпомянулJavaScript 注入攻击также можно комбинировать点击劫持а также复制黏贴被攻击站点.甚至可以利用iframeCSRFЕсли вы заинтересованы в атаке на сайт, вы можете проверить это самостоятельно, если вас интересуют эти знания, связанные с безопасностью.
до свидания мисс
X-FRAME-OPTIONS
X-FRAME-OPTIONSЭто http-заголовок, предложенный Microsoft, который специально используется для защиты от кликджекинга с использованием вложения iframe. Он имеет три необязательных значения:
| стоимость | объяснять |
|---|---|
| DENY | Запретить любую загрузку домена |
| SAMEORIGIN | Разрешить загрузку под гомологичными доменами |
| ALLOW-FROM | Вы можете определить адрес страницы, которая позволяет загружать фрейм |
Сосредоточьтесь на одноклассниках, которые знают Сяо Эр, я люблю делать пузыри.掘金, почему этот пример представляет собой почтовую панель, а не掘金Шерстяная ткань? Потому что Наггетс воспользовалисьX-FRAME-OPTIONSЧтобы предотвратить знакомство с iframe веб-сайта другого происхождения, вы можете попробовать это, если не верите. Я полагаю, что вы также получите ту же подсказку страницы, что и я:
увеличить сложность операции
теперь, когда点击劫持Он использует неосознанный щелчок пользователя, что может увеличить сложность операции пользователя и затруднить захват. Например, при использовании проверочного кода в операции с высоким риском, при переходе на страницу с проверочным кодом пользователь не может увидеть эту прозрачную страницу и точно не введет проверочный код, что может предотвратить причинение вреда кликджекингом.
Защита скрипта
Вы можете использовать код JavaScript для предотвращения вложения iframe, этот метод называетсяframe busting.例如判断上级 location 是不是与自己一样：
if ( top.location != location ) {
top.location = self.location;
}
Однако этот метод легко обойти, например, используяiframeизsandboxАтрибут может помешать атакуемому веб-сайту выполнять скрипты или многоуровневые вложенныеiframe.
изменить себя
Конечно, не каждый сайт будет таким掘金Это помогает нам предотвратить点击劫持
No-Script Suite Lite
Расти вместе
В запутанном городе неизбежно идти бок о бок
伙伴Давайте расти вместе.
- Если вы хотите, чтобы статью увидело больше людей, нажмите
点赞. - Если вы хотите мотивировать второго ребенка, вы можете перейти кGithubдать
小星星. - Если вы хотите больше общаться с Xiaoer, добавьте WeChat
m353839115.
Оригинал статьи изPushMeTop