的iFrame安全问题

Question

我们最近有在其中一个服务器A的iframe代码段是指向服务器B的URL有通过对某些客户端服务器A被安装恶意软件的一些情景。这iframe可以是原因。正如黑客将他的url注入到iframe的src中一样。有什么可以替代设置为iFrame等

Answer 1

最有可能你经历XSS

Answer 2

如果黑客能够一个iframe点更改URL在您的网站，则iframe是没有问题的，你的代码。

任何网站都可以成为恶意软件最多，但你却表示，黑客攻击了网站，并改变了iframe，而不是服务于iframe的内容网站的src属性。即使你用别的东西代替了iframe，攻击者已经设法获取用于生成页面的数据背后的数据，这意味着他们不能将自己限制在iframe中，而是嵌入其他策略，例如重定向，或者是一个被javascript或任何其他类型的常见讨厌点击的隐藏链接。

Answer 3

一般的IFrame其内容来自于不同的域不能访问父网站的DOM - 由于交叉域名脚本的限制。有很多错误涉及浏览器没有正确实施这些限制，所以过时的客户端浏览器可能是原因。

Answer 4

除非您在iFrame内部运行代码，否则您真的不应该这样做，因此禁止运行任何代码的iFrame是个好主意。