Получение прошлого блока iframe на Facebook

Question

Что ж, на Facebook у них, похоже, есть блок, который не позволяет вам загрузить iframe их веб-сайта.

Когда вы это делаете, они блокируют полную функциональность своего веб-сайта. Пример .

Мне просто интересно, кто-нибудь знает, как вы могли бы обойти это?

Answer 1

Если они не помешали этому, злоумышленник может загрузить страницы Facebook в прозрачный iframe и поместить под него что-нибудь интересное.Предположим, что жертва вошла в Facebook и затем заходит на сайт злоумышленника (через некоторое время в другой вкладке).

Жертва нажмет на что-нибудь на сайте злоумышленника.Но на самом деле это нажатие на прозрачный iframe и запуск некоторых действий на сайте facebook.Разумеется, браузер отправил файл cookie сеанса в Facebook, и Facebook видит законное действие зарегистрированного пользователя.

В Википедии есть статья о Clickjacking: http://en.wikipedia.org/wiki/Clickjacking

Эту атаку можно предотвратитьиспользование неофициального http-заголовка X-Frame-Option, как описано в http://www.webmasterworld.com/webmaster/4022867.htm К сожалению, не все браузеры поддерживают его, поэтому также необходим java-скрипт для разрыва фрейма.

Answer 2

Если вы можете сделать это, Facebook сталкивается с серьезной угрозой безопасности.

Я говорю, забудьте об этом, даже если метод найден, Facebook скоро заблокирует его, и тогда метод потерпит неудачу.

Если вы не делаете что-то непослушное и вам нужно только то, что работает сейчас.