Frame Buster Buster ... code buster nécessaire

Question

Disons que vous ne voulez pas que d'autres sites "encadrent" votre site dans une page d'accueil. <iframe> :

<iframe src="http://example.org"></iframe>

Vous insérez donc du JavaScript anti-cadrage dans toutes vos pages :

/* break us out of any containing iframes */
if (top != self) { top.location.replace(self.location.href); }

Excellent ! Désormais, vous sortez automatiquement des iframes qu'ils contiennent. Sauf pour un petit problème.

Il s'avère que.., votre code anti-cadres peut être cassé , comme indiqué ici :

<script type="text/javascript">
    var prevent_bust = 0  
    window.onbeforeunload = function() { prevent_bust++ }  
    setInterval(function() {  
      if (prevent_bust > 0) {  
        prevent_bust -= 2  
        window.top.location = 'http://example.org/page-which-responds-with-204'  
      }  
    }, 1)  
</script>

Ce code effectue les opérations suivantes :

• incrémente un compteur à chaque fois que le navigateur tente de naviguer hors de la page en cours, par l'intermédiaire de la fonction window.onbeforeunload gestionnaire d'événements
• met en place une minuterie qui se déclenche toutes les millisecondes via setInterval() et s'il voit le compteur incrémenté, il change l'emplacement actuel pour un serveur contrôlé par l'attaquant
• ce serveur envoie une page avec le code d'état HTTP 204 qui ne permet pas au navigateur de naviguer n'importe où

Ma question est la suivante - et il s'agit plus d'un puzzle JavaScript que d'une véritable problème -- Comment vaincre le destructeur de cadres ?

J'ai eu quelques idées, mais rien n'a fonctionné lors de mes tests :

• en essayant d'effacer le onbeforeunload événement via onbeforeunload = null n'a pas eu d'effet
• l'ajout d'un alert() a arrêté le processus, ce qui a permis à l'utilisateur de savoir ce qui se passait, mais n'a pas interféré avec le code de quelque manière que ce soit ; en cliquant sur OK, le processus se poursuit normalement.
• Je ne vois aucun moyen d'effacer la setInterval() minuterie

Je ne suis pas vraiment un programmeur JavaScript, alors voici le défi que je vous lance : hey buster, peux-tu casser le cadre buster ?

Answer 1

Pour information, la plupart des navigateurs actuels soutien les X-Frame-Options : deny qui fonctionne même lorsque la directive script est désactivée.

IE8 :
http://blogs.msdn.com/ie/archive/2009/01/27/ie8-security-part-vii-clickjacking-defenses.aspx

Firefox (3.6.9)
https://bugzilla.mozilla.org/show_bug.cgi?id=475530
https://developer.mozilla.org/en/The_X-FRAME-OPTIONS_response_header

Chrome/Webkit
http://blog.chromium.org/2010/01/security-in-depth-new-security-features.html
http://trac.webkit.org/changeset/42333

Answer 2

Je ne sais pas si c'est viable ou non - mais si vous ne pouvez pas briser le cadre, pourquoi ne pas simplement afficher un avertissement. Par exemple, si votre page n'est pas la "première page", créez une méthode setInterval qui tente de briser le cadre. Si après 3 ou 4 tentatives, votre page n'est toujours pas la première page, créez un élément div qui couvre toute la page (boîte modale) avec un message et un lien comme...

Vous visualisez cette page dans une fenêtre non autorisée - (Blah blah... problème de sécurité potentiel)

cliquez sur ce lien pour résoudre ce problème

Ce n'est pas la meilleure solution, mais je ne vois pas comment ils pourraient script s'en sortir.

Answer 3

Nous avons utilisé l'approche suivante dans l'un de nos sites web de http://seclab.stanford.edu/websec/framebusting/framebust.pdf

<style>
 body { 
 display : none   
}
</style>
<script>
if(self == top) {
document.getElementsByTagName("body")[0].style.display = 'block';
}
else{
top.location = self.location;
}
</script>

Answer 4

J'ai trouvé ceci, et cela semble fonctionner au moins dans Firefox et le navigateur Opera.

if(top != self) {
 top.onbeforeunload = function() {};
 top.location.replace(self.location.href);
}

Answer 5

Après y avoir réfléchi un moment, je pense que cela leur montrera qui est le patron...

if(top != self) {
  window.open(location.href, '_top');
}

Utilisation _top en tant que paramètre cible pour window.open() le lancera dans la même fenêtre.