SORU
5 EYLÜL 2011, PAZARTESİ


Nasıl Google 1 widget onların iframe patlak mı?

Bir şekilde, bir Google-plus widget üzerinde gezinip açıkça içerdiği <iframe> öğe daha büyük tooltip olayı tanıtabilirsiniz. Bunu doğrulamak için DOM.* inceleyene

screenshot

Yani:

  1. Ne? Nasıl!?

  2. Bu eğer kötü niyetle kullanılırsa tuzaklarına dikkat, büyük bir fırsat değil mi? (Birisi bu sosyal widget için bir MITM yaptığınızı hayal edin!)

*Güncelleme: gördüm Ne tooltip-y mesaj olduikinci,dinamik olarak iframe yarattı.

CEVAP
5 EYLÜL 2011, PAZARTESİ


Google 1 widget iframe bir bina olduğunu JavaScript that runs on your website. Bu JavaScript widget Web sitenize kapsamında çalışan ve bu nedenle Origin Inheritance Rules for iframes ile sınırlı değildir. Bu nedenle bu JavaScript widget sadece basit gibi görünüyor olsa da, ana site üzerinde her istediğini ayarlayabilirsiniz iframe.

Başka bir şey, neden iframe kullanarak Google? Neden sayfada div oluşturmak değil mi? İyi bir bağlantı oluştuğu için iframe CSRF (cross-site istek sahteciliği) belirteci isteği içinde gömülü olabilir ve ana site bu token okuma isteği taklit edemiyor. Yani iframe Kökeni Miras kuralları, kötü niyetli ebeveyn kendini korumak için dayanır anti-CSRF bir ölçüsüdür.

Saldırı bir bakış açısıyla bu UI-Düzeltme daha XSS (cross-site betik) gibi. Sen vermek Google erişim için web sitesi ve ellerinden kaçırmak kullanıcılarınızın kurabiye ya da gerçekleştirmek XmlHttpRequests karşı web siteniz varsa tercih ettikleri (ama o insanların dava onlar için kötü niyetli olmak ve zengin).

Bu durumda Google güvenmelisin, ama Google sana güvenmiyor.

There are ways of mitigating the privacy impact of these web-bugs.

Bunu Paylaş:
  • Google+
  • E-Posta
Etiketler:

YORUMLAR

SPONSOR VİDEO

Rastgele Yazarlar

  • Disney Pets and Animals

    Disney Pets

    29 ŞUBAT 2012
  • GirlSanctuaryBlog

    GirlSanctuar

    28 Aralık 2011
  • thegeniuses.tv

    thegeniuses.

    11 Aralık 2006