跨站點腳本釣魚通過框架

Question

我們如何才能防止「跨站點腳本釣魚通過框架」由PHP網站..

感謝

Answer 1

下面的腳本可以幫助：

<script type="text/javascript"> 
    if(top.frames.length > 0) { 
     top.location.href = self.location; 
    } 
</script> 

如果你在每個頁面中包括這個，那麼你基本上檢查在首頁上沒有多個框架。顯然，只有當您的網站本身不使用iframe（例如，投放廣告）時纔有效。

然而，針對網絡釣魚詐騙最好防禦是：

1. 決不不斷用戶發送電子郵件的鏈接到你的網站，要求他們登錄。
2. 教育您的用戶關於上述政策＃1（即告訴他們：「如果您的帳戶存在任何問題，請致電xxx聯繫我們，我們絕不會向您發送要求您登錄該網站的電子郵件。
3. 讓您的用戶輕鬆向您報告網絡釣魚詐騙行爲。在您的主頁上有一個顯着的鏈接，並與違規網站的ISP合作，儘快讓其關閉。

Answer 2

跨站點腳本主要是通過URL

發生像http://www.example.com/index.php?q="><script>alert('SSS')</script>

如果你的index.php頁面包含

echo $_GET['q']; 

，您會收到警報。因此，該用戶可以抓住你的cookies也插入惡意代碼到你的網站。所以確保你使用所有的GET和POST變量進行驗證。