框架注入的学习

框架注入

1、漏洞描述：
一个框架注入攻击是一个所有基于GUI的浏览器攻击，它包括任何代码如JavaScript、VBScript(ActivX)、Flash、AJAX(html+js+py)。代码被注入是由于脚本没有对它们正确验证，攻击者有可能注入含有恶意内容的frame或iframe标记。“链接注入”是修改站点内容的行为，其方式为将外部站点的URL嵌入其中，或将有易受攻击的站点中的脚本的URL嵌入其中。将URL嵌入易受攻击的站点中，攻击者便能够以它为平台来启动对其他站点的攻击，以及攻击这个易受攻击的站点本身。
2、检测条件 ：
被测网站具有交互功能模块，涉及到参数get和post提交等等
3、检测 ：
存在xss的地方很有可能存在此漏洞，笔者感觉手工很难检查，需要借助工具测试（ps笔者第一次遇到）
4、实战 ：
url:http://url/
post:power=1"/></iframe></script></style></title></textarea><iframe src=http://127.0.0.1>闭合前面并插入一个iframe标签，即可展示127.0.0.1的内容

hello world即为笔者127.0.0.1的内容
5、个人想法：
应该是作为xss的辅助，钓鱼等。
6、修复：
类似于xss修复。过滤特殊字符，用户的一切输入都是有害的

借鉴：https://blog.csdn.net/wutianxu123/article/details/82724909

如有不对，欢迎指正