iframes_html/css_WEB-ITnose によってページが悪意を持ってネストされるのを防ぐ-htmlチュートリアル-php.cn

iframes_html/css_WEB-ITnose によってページが悪意を持ってネストされるのを防ぐ

WBOY

リリース： 2016-06-24 11:48:39

オリジナル

1707 人が閲覧しました

新しいブログアドレス: http://hengyunabc.github.io/prevent-iframe-stealing/

Origin

情報を見ていると、iframe のネストを防ぐための次のコードを見つけました:

try {    if (window.top != window.self) {        var ref = document.referer;        if (ref.substring(0, 2) === '//') {            ref = 'http:' + ref;        } else if (ref.split('://').length === 1) {            ref = 'http://' + ref;        }        var url = ref.split('/');        var _l = {auth: ''};        var host = url[2].split('@');        if (host.length === 1) {            host = host[0].split(':');        } else {            _l.auth = host[0];            host = host[1].split(':');        }        var parentHostName = host[0];        if (parentHostName.indexOf("test.com") == -1 && parentHostName.indexOf("test2.com") == -1) {            top.location.href = "http://www.test.com";        }    }} catch (e) {}

ログイン後にコピー

Assume test. , test2.com は独自のドメイン名です。他の Web サイトがこのサイトのページを悪意を持ってネストすると、このサイトのトップページにジャンプします。

上記のコードには 2 つの問題があります:

referer のスペルが間違っています。実際には Referrer であるべきです

Referrer を解析するコードは複雑すぎるため、正しくない可能性があります

どの言語であっても正しくありません。コードを手動で記述することをお勧めします。 URL の複雑さは常人の想像を超えているからです。多くのセキュリティ問題は、URL の不適切な解析によって引き起こされます。たとえば、CSRF を防止する場合は、リファラーを決定します。

URI 構文:

http://en.wikipedia.org/wiki/URI_scheme#Generic_syntax

JavaScript で URL を解析する最良の方法

JavaScript で URL を解析する最良の方法は、ブラウザの JS エンジンを使用することです、 a タグを作成することで:

var getLocation = function(href) {    var l = document.createElement("a");    l.href = href;    return l;};var l = getLocation("http://example.com/path");console.debug(l.hostname)

ログイン後にコピー

iframe の悪意のあるネストを防ぐ簡単な方法

iframe の悪意のあるネストを防ぐ簡単な方法は次のとおりです:

if(window.top != window && document.referrer){  var a = document.createElement("a");  a.href = document.referrer;  var host = a.hostname;  var endsWith = function (str, suffix) {      return str.indexOf(suffix, str.length - suffix.length) !== -1;  }  if(!endsWith(host, '.test.com') || !endsWith(host, '.test2.com')){    top.location.href = "http://www.test.com";  }}

ログイン後にコピー