程序员经验分享-hwhale

Iframe 和同源策略以及反向代理黑客

2024-01-07

我一直在阅读具有不同域的 Iframe，然后是父文档，我有点困惑。

据我了解，如果 iframe 与其父文档来自同一域，则父文档可以访问 iframe 的文档。看来我可以通过以下技巧来规避这个问题：

  1. 我在以下位置设置了一个网络服务器mydomain.com
  2. 我提供的原始页面来自mydomain.com/index.html
  3. 我在我的网络服务器上设置了代理mydomain.com/othersite -> site2.com
  4. Add <iframe src="mydomain.com/othersite">到mydomain.com/index page

这似乎会规避同源策略，而用户却一无所知。我有什么遗漏的吗？


是的，你缺少一些东西。

同源策略保护网站访问的客户端。

如果您设置mydomain.com/othersite被代理给site2.com那么浏览器将不会发送用户的 cookiesite2.com到您的网站mydomain.com。您将得到的只是您网站设置的 cookiemydomain.com对于该用户。也就是说，你所攻击的只是你的mydomain.com会话与site2.com，而不是用户的会话site2.com（因为你的反向代理有效地使mydomain.com此连接的客户端）。

如果有不在要规避同源策略，这必须是客户端的操作，以便浏览器将 cookie 发送到您的域。

我意识到我在这里专注于 cookie，但是 cookie 是同源策略保护的客户端对象示例的一个易于理解的概念。你的方法would允许你操作 DOMsite2.com但它不会在您的访问者访问的范围内site2.com，这将是在您自己访问的上下文中site2.com- 访问者访问的任何内容都无法更改，除非他们足够信任您的网站并登录到代理版本site2.com直接地。

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

html

security

iframe

sameoriginpolicy

Iframe 和同源策略以及反向代理黑客 的相关文章

  • 图像未完整显示在身体背景上

    例子 http jsbin com opokev 20 http jsbin com opokev 20 完整图片 http i53 tinypic com 347a8uu jpg http i53 tinypic com 347a8uu

  • jQuery 删除函数真的删除 Dom 元素吗？

    我真的想知道 jQuery 是否remove http api jquery com remove 函数确实从 DOM 中删除元素 首先 我看了here https stackoverflow com questions 2185760 j

  • ActiveX 日历控件在 Windows 7 中不起作用

    我们有一个经典的 ASP 应用程序 它使用以下日历对象

  • 内部样式表中的 HTML 注释标签[重复]

    这个问题在这里已经有答案了 可能的重复 注释掉 HTML 文档中的样式表以支持旧版浏览器 https stackoverflow com questions 6825773 commenting out stylesheets in htm

  • Twitter Bootstrap 行过滤器/搜索框

    我无法找到有关如何为 Twitter Bootstrap 创建简单搜索查询或行过滤器的教程 我已经尝试了很多 我不确定是否我做错了什么或者插件与 Bootstrap 不兼容 如果可以的话请帮忙 我试过了 document ready fun

  • CSS 属性选择器中的 [att~=val] 与 [att*=val] 有何不同？

    也许我错过了一些东西 但它们看起来很相似 例如 如果您使用 a alt thumb or a alt thumb 我可以通过哪些不同方式缩小选择范围 我的理解是 为您提供了引号中的部分匹配 而 为您提供了部分匹配 我将稍微修改一下代码 但由

  • 是否可以在 ApplicationServices DB 中对电子邮件地址进行加密？

    为了在我正在进行的项目中保持电子邮件地址的私密性 提高安全性 我希望对存储在数据库中的所有电子邮件进行加密 但是 我们使用的是 Asp Net Membership 提供程序 并且电子邮件以明文形式显示在表 aspnet Membershi

  • ie11 中的 SVG 问题

    我有一个 div 其高度设置为 320 像素 然后它的子元素宽度设置为 100 它的子文件是一个 SVG 文件 我将其宽度设置为容器的 200 在运行良好的 Chrome 和 Firefox 中 我得到了如下所示的漂亮图像 HTML 看起来

  • 更改单选按钮上输入字段中的值

    我正在开发一个项目 用户必须在两个选项中选择一个 选项是单选按钮 目前我正在获取 keyup 事件的结果 当用户选择一个选项 然后在输入字段中输入值时 他会在另一个结果输入字段中得到结果 它工作正常 但是当用户想要更改选项并选择其他选项时出

  • 角度斜线被编码

    我和这个人有同样的问题 angularjs slash after hashbang gets encoded https stackoverflow com questions 17530924 angularjs slash after

  • 检测滚动条是否可见（例如在移动设备上）

    我见过很多关于检测 HTML 元素是否可滚动的问题 答案 例如动态检测滚动条 https stackoverflow com questions 33805052 detect scrollbar dynamically 我需要类似的东西

  • CSS3家谱，如何添加妻子

    我正在关注这个guide http thecodeplayer com walkthrough css3 family tree关于如何仅使用 CSS3 制作家谱 但我真的不知道如何结婚 To clarify What the codes

  • IE7内容可编辑自动换行

    我有以下代码 div class editable This is test text This is test text This is test text This is test text This is test text Thih

  • Java程序验证signtool签名的数字签名

    我已经使用 SignTool 对文件 exe 或 dll 不是 jar 文件 进行了数字签名 Signtool还可以验证数字签名 但我的要求是使用java程序检查由signtool签名的文件的数字签名 我在互联网上搜索但没有找到任何信息 您

  • 如何通过单击链接并确认弹出窗口来检查两个条件？

    我是 JavaScript 新手 有 2 个 html 链接 li a class dropdown item confirm href wtdata a li li a class dropdown item confirm href f

  • 差异：查看页面源代码与在 Firebug 中查看

    当我查看页面的页面源时 例如 http my sa ucsb edu public curriculum coursesearch aspx http my sa ucsb edu public curriculum coursesearc

  • Knockout.js：有条件绑定div的title属性

    我的页面上有一个 viewModel 它保存一些设备当前状态概述的数据 到目前为止 除了一个问题之外 一切都运行良好 我需要根据 viewModel 中的另一个值设置 div 元素的 title 属性 我知道您基本上可以像这样设置 titl

  • HTML5 网站在手机屏幕关闭时运行？

    基本上 我的问题与这个话题 https stackoverflow com questions 15465242 html5 mobile app running while phone screen is off但现在已经是 2018 年

  • HTML5 画布在缩放和旋转后平移

    我正在尝试用画布做一些事情 首先 我让用户上传图像 如果图像比我想要的大 我需要将其缩小 那部分工作得很好 最近我们遇到了 iPhone 用户上传图像的问题 这些都存在方向问题 我已经弄清楚如何提取方向 我的问题是当我操纵画布中的图像时会发

  • 在 X 轴刻度上渲染 HTML

    我想在 D3 图表的 x 轴上渲染 HTML 基本上 我希望轴上的每个标签都是到数据中另一列的超链接 我试过了 x domain data map function d return a href d Name a 但它根本不起作用 我得到

随机推荐

热门标签