SSL頁面在非SSL頁面中被iframed - 表單提交仍然安全嗎？

Question

如果SSL頁面在非SSL頁面中被設置爲iframe並且SSL頁面具有提交數據的表單，表單提交（POST）仍然安全嗎？

如果不是，我該如何使它安全？

謝謝。

Answer 1

我認爲從安全的iframe提交表單仍然是安全的，說你很容易在中間人攻擊。主要的非安全頁面上的JavaScript注入可能會危及安全的iframe。

你也不會得到在給定的網站瀏覽器的掛鎖圖標是不安全的（只有iframe是）

＃2的另一個主題說明這一點：iframe an SSL secured form on a non SSL site

Answer 2

設置窗體的行動明確地是「https：// ...」因此它總是會出現SSL

Answer 3

如果SSL頁面在非SSL頁面中有iframed並且該SSL頁面具有提交數據的表單，則表單提交（POST ）仍然安全？

加密？是。

安全嗎？沒有。

父頁面可以與由中間人攻擊者被篡改，例如：

• 包括針對的IFRAME一個點擊劫持攻擊，如覆蓋假形式的元件或提取內容（見'下一代點擊劫持「）

• 將iframe的來源更改爲預期的HTTPS地址 - 另一個未受保護的HTTP連接或屬於攻擊者的HTTPS站點。瀏覽器不提供檢查可用於普通用戶的iframe源的方法。

在這種情況下，表單內容可能會受到損害，而不會向用戶指示表單尚未正常處理。

如果不是，我該如何使它安全？

唯一的答案是對父頁面和iframe表單使用HTTPS。