的iFrame安全問題

Question

我們最近有在其中一個服務器A的iframe代碼段是指向服務器B的URL有通過對某些客戶端服務器A被安裝惡意軟件的一些情景。這iframe可以是原因。正如黑客將他的url注入到iframe的src中一樣。有什麼可以替代設置爲iFrame等

Answer 1

最有可能你經歷XSS

Answer 2

如果黑客能夠一個iframe點更改URL在您的網站，則iframe是沒有問題的，你的代碼。

任何網站都可以成爲惡意軟件最多，但你卻表示，黑客攻擊了網站，並改變了iframe，而不是服務於iframe的內容網站的src屬性。即使你用別的東西代替了iframe，攻擊者已經設法獲取用於生成頁面的數據背後的數據，這意味着他們不能將自己限制在iframe中，而是嵌入其他策略，例如重定向，或者是一個被javascript或任何其他類型的常見討厭點擊的隱藏鏈接。

Answer 3

一般的IFrame其內容來自於不同的域不能訪問父網站的DOM - 由於交叉域名腳本的限制。有很多錯誤涉及瀏覽器沒有正確實施這些限制，所以過時的客戶端瀏覽器可能是原因。

Answer 4

除非您在iFrame內部運行代碼，否則您真的不應該這樣做，因此禁止運行任何代碼的iFrame是個好主意。