框定假人老兄……需要Buster代码

假设你不希望其他网站在<iframe>中“框架”你的网站:

<iframe src="http://example.org"></iframe>

所以你在所有页面中插入反帧，帧分解JavaScript:

/* break us out of any containing iframes */
if (top != self) { top.location.replace(self.location.href); }

太好了!现在，您可以自动“打破”或跳出任何包含iframe的框架。除了一个小问题。

事实证明，你的框架破坏代码可以被破坏，如下所示:

<script type="text/javascript">
    var prevent_bust = 0  
    window.onbeforeunload = function() { prevent_bust++ }  
    setInterval(function() {  
      if (prevent_bust > 0) {  
        prevent_bust -= 2  
        window.top.location = 'http://example.org/page-which-responds-with-204'  
      }  
    }, 1)  
</script>

这段代码执行以下操作:

每次浏览器试图通过窗口导航离开当前页面时，递增一个计数器。Onbeforeunload事件处理程序设置一个计时器，通过setInterval()每毫秒触发一次，如果它看到计数器增加，则将当前位置更改为攻击者控制的服务器该服务器提供一个HTTP状态码为204的页面，这不会导致浏览器在任何地方导航

我的问题是——这更像是一个JavaScript难题，而不是一个实际问题——如何打败框架破坏破坏者?

我有一些想法，但在我的测试中没有什么管用:

试图通过onbeforeunload = null清除onbeforeunload事件没有效果添加alert()会停止进程，让用户知道它正在发生，但不会以任何方式干扰代码;单击OK，让破坏照常进行我想不出任何方法来清除setInterval()定时器

我不是一个很好的JavaScript程序员，所以这是我对你的挑战:嘿，老兄，你能打破框架破坏老兄吗?

当前回答

我可能刚刚找到了一种方法来破坏框架buster的javascript。在我的javascript函数中使用getElementsByName，我已经在框架buster和实际的框架buster脚本之间设置了一个循环。看看这篇文章。http://www.phcityonweb.com/frame-buster-buster-buster-2426

2011-02-20 14:42:48

其他回答

当然，您可以修改计数器的值，但这显然是一个脆弱的解决方案。你可以在确定网站不在一个框架内后通过AJAX加载你的内容——这也不是一个很好的解决方案，但它有望避免触发on beforeunload事件(我假设)。

编辑:另一个想法。如果你检测到你在一个帧中，请用户禁用javascript，然后点击一个带你到所需URL的链接(传递一个查询字符串，让你的页面知道，告诉用户他们可以重新启用javascript一旦他们在那里)。

编辑2:去核——如果你发现你在一个框架，只要删除你的文档主体内容和打印一些讨厌的消息。

编辑3:您可以枚举顶部文档并将所有函数设置为null(即使是匿名函数)吗?

2009-06-06 04:40:24

目前大多数浏览器都支持X-Frame-Options: deny指令，即使脚本被禁用，该指令也能正常工作。

IE8: http://blogs.msdn.com/ie/archive/2009/01/27/ie8-security-part-vii-clickjacking-defenses.aspx

Firefox (3.6.9) https://bugzilla.mozilla.org/show_bug.cgi?id=475530 https://developer.mozilla.org/en/The_X-FRAME-OPTIONS_response_header

铬/网络套件 http://blog.chromium.org/2010/01/security-in-depth-new-security-features.html http://trac.webkit.org/changeset/42333

2010-03-19 18:54:06

我想你已经差不多了。你有没有试过:

window.parent.onbeforeunload = null;
window.parent.location.replace(self.location.href);

或者,或者:

window.parent.prevent_bust = 0;

注意:我实际上并没有对此进行测试。

2009-06-06 04:48:32

如果你查看setInterval()返回的值，它们通常是单个数字，所以你通常可以用一行代码禁用所有这样的中断:

for (var j = 0 ; j < 256 ; ++j) clearInterval(j)

2010-02-21 08:57:59

if (top != self) {
  top.location.replace(location);
  location.replace("about:blank"); // want me framed? no way!
}

2009-06-19 15:23:24

框定假人老兄……需要Buster代码

推荐文章

最新文章

标签