Perché alcuni siti non vengono mostrati quando li si incorpora in un iframe?

Naviga le tue risposte
7

Sfruttando l'opzione XSS memorizzata DVWA , sto utilizzando il seguente payload: <iframe src="url"> .

Mi piacerebbe sapere perché alcuni siti funzionano ma altri no quando si utilizza questo payload.

Ad esempio: <iframe src="http://usatoday.com">funziona,tuttavia<iframesrc="http://google.com"> non funziona (mostra una casella vuota). Neanche questo sito funziona.

    
posta yzT 26.06.2013 - 22:50
fonte

2 risposte

8

Questo può essere controllato con la seguente intestazione HTTP: 

Header set X-Frame-Options

Ha le seguenti opzioni:

  • DENY: interrompe tutti i framing
  • SAMEORIGIN: interrompe il framing ad eccezione dello stesso sito web consegnato la pagina stessa. (Consentendo link alle pagine frame servito da link con X-Frame-Options impostato su questo valore)

Se guardiamo a google: 

root@bt:~# telnet google.com 80
Trying 173.194.34.192...
Connected to google.com.
Escape character is '^]'.
GET / HTTP/1.1

HTTP/1.1 302 Found
Location: http://www.google.es/
Cache-Control: private
Content-Type: text/html; charset=UTF-8
Set-Cookie: PREF=ID=33213a21c9470cd8:FF=0:TM=1372280788:LM=1372280788:S=uhe-vKiypMTkoLNP; expires=Fri, 26-Jun-2015 21:06:28 GMT; path=/; domain=.google.com
Set-Cookie: NID=67=pl37RO9ptszDuKjsU8ysb4W3bkos7KK0u28rPbWdM-hJsNo_gS_XFd1dtWSHM7zAeDjITumqHWIw6P836EqfGSZk51m7nioFM6SrQHZzVVEHgDjXL1CpTmGRrdjP4d_L; expires=Thu, 26-Dec-2013 21:06:28 GMT; path=/; domain=.google.com; HttpOnly
P3P: CP="This is not a P3P policy! See http://www.google.com/support/accounts/bin/answer.py?hl=en&answer=151657 for more info."
Date: Wed, 26 Jun 2013 21:06:28 GMT
Server: gws
Content-Length: 218
X-XSS-Protection: 1; mode=block
X-Frame-Options: SAMEORIGIN   <----

<HTML><HEAD><meta http-equiv="content-type" content="text/html;charset=utf-8">
<TITLE>302 Moved</TITLE></HEAD><BODY>
<H1>302 Moved</H1>
The document has moved
<A HREF="http://www.google.es/">here</A>.
</BODY></HTML>

Possiamo vedere che hanno impostato che le X-Frame-Options sono state impostate su SAMEORIGIN. Questo ti impedisce di utilizzare iFraming del sito web.

    
risposta data 26.06.2013 - 23:11
fonte
10

I siti web usano comunemente gli interruttori iframe scritti in JavaScript o X-Frame-Options intestazione per evitare di essere iframed.

Nel caso di google.com, il secondo è il caso: 

fabian ~% curl -I www.google.com | grep Frame
X-Frame-Options: SAMEORIGIN
    
risposta data 26.06.2013 - 23:09
fonte

Leggi altre domande sui tag

Determina automaticamente se una particolare versione del prodotto è vulnerabile? L'uomo nella teoria dell'attacco intermedio [duplicato]