Bir şekilde, bir Google-plus widget üzerinde gezinip açıkça içerdiği <iframe> öğe daha büyük tooltip olayı tanıtabilirsiniz. Bunu doğrulamak için DOM.* inceleyene

Yani:

1. Ne? Nasıl!?

2. Bu eğer kötü niyetle kullanılırsa tuzaklarına dikkat, büyük bir fırsat değil mi? (Birisi bu sosyal widget için bir MITM yaptığınızı hayal edin!)

*Güncelleme: gördüm Ne tooltip-y mesaj olduikinci,dinamik olarak iframe yarattı.

Google 1 widget iframe bir bina olduğunu JavaScript that runs on your website. Bu JavaScript widget Web sitenize kapsamında çalışan ve bu nedenle Origin Inheritance Rules for iframes ile sınırlı değildir. Bu nedenle bu JavaScript widget sadece basit gibi görünüyor olsa da, ana site üzerinde her istediğini ayarlayabilirsiniz iframe.

Başka bir şey, neden iframe kullanarak Google? Neden sayfada div oluşturmak değil mi? İyi bir bağlantı oluştuğu için iframe CSRF (cross-site istek sahteciliği) belirteci isteği içinde gömülü olabilir ve ana site bu token okuma isteği taklit edemiyor. Yani iframe Kökeni Miras kuralları, kötü niyetli ebeveyn kendini korumak için dayanır anti-CSRF bir ölçüsüdür.

Saldırı bir bakış açısıyla bu UI-Düzeltme daha XSS (cross-site betik) gibi. Sen vermek Google erişim için web sitesi ve ellerinden kaçırmak kullanıcılarınızın kurabiye ya da gerçekleştirmek XmlHttpRequests karşı web siteniz varsa tercih ettikleri (ama o insanların dava onlar için kötü niyetli olmak ve zengin).

Bu durumda Google güvenmelisin, ama Google sana güvenmiyor.

There are ways of mitigating the privacy impact of these web-bugs.