Sicurezza del sito Web Violazione da un Iframe

0

So che il mio sito Web viene violato da un'applicazione Web di terze parti nel seguente scenario:

  1. I miei utenti inseriscono credenziali nel mio sito in un'applicazione web di terzi

  2. L'applicazione web di terze parti viola le mie politiche di negazione delle opzioni di X-Frame tramite un'estensione di Google Chrome. It Iframes my website.

  3. L'applicazione web di terzi viene quindi registrata nel mio sito Web con le credenziali fornite dall'utente.

  4. L'applicazione web di terzi invia informazioni al mio sito web.

In questo scenario, nei miei file di registro c'è comunque la possibilità di vedere quali pagine l'applicazione di terze parti sta visitando nel mio sito sicuro e c'è comunque la possibilità di determinare se questa applicazione sta estraendo informazioni dalle mie pagine web sicure?

Inoltre, qualsiasi suggerimento su come bloccare questa applicazione web di terzi dall'essere in grado di iframe il mio sito è molto apprezzato.

Grazie per il tuo contributo!

    
posta user1609391 02.03.2018 - 23:18
fonte

1 risposta

3

Puoi attaccare l'estensione

Credo che sia possibile uccidere altri script javascript come mostrato da:

  • Cazzo Adblock
  • Fuck Fuck Adblock
  • Fuck Fuck Fuck Adblock

etc etc

Non sono chiaro su come funziona, ma se si conosce il nome della sceneggiatura e / o si ottiene una copia di esso, si può facilmente iniziare una sorta di "corsa agli armamenti" contro questa estensione di Chrome.

Puoi provare a identificare l'applicazione browser

Quindi la lista nera dell'inferno li supera, ma questo potrebbe solo innescare una corsa agli armamenti, dove trovano contromisure per le contromisure ecc.

È possibile avvitare con la loro applicazione

Se riesci a mettere le mani sui loro script e roba, puoi sicuramente rovinarli nei seguenti modi:

  • Identifica in che modo ottengono la password e le fornisci informazioni false
  • Probabilità di fallimento per i loro metodi
  • Area Honeycombed dopo il login per raccogliere informazioni sugli aggiornamenti che i loro script potrebbero aver ottenuto

È possibile aggiungere autenticazione a due fattori / elementi di login ip

2FA è un muro di mattoni per gli hacker.

Puoi rovinare l'automazione

Per ottenere le password, probabilmente stanno raschiando l'identificativo del campo. Bot uso getelementbyid in modo tale che tu possa generare al volo il nome utente e l'ID del campo password , che potrebbe essere frustrante per gli hacker. Potrebbe essere davvero frustrante per le persone che utilizzano la compilazione automatica delle password però.

Note finali

In ogni caso, le tue priorità sono

  • mettere le mani sul loro codice
  • trovare un modo per identificare i loro tentativi di accesso
  • il loro IP, cita il loro ISP ecc ecc ecc

Con queste cose, puoi fare qualsiasi serie di cose, inclusa la riproduzione di "Mr. Passive Aggressive, 'dove puoi spostare la sessione dell'hacker in una GUI diversa rispetto a tutti gli altri in cui non è possibile ottenere informazioni / ottenere informazioni errate 50% / 50% delle volte. O utilizzare i metodi sopra elencati. In ogni caso, rendono difficile per loro identificare i metodi che usi. Se sei un bersaglio troppo duro, si muoveranno e troveranno qualcun altro.

    
risposta data 03.03.2018 - 00:13
fonte

Leggi altre domande sui tag