BUG赏金 | 当我发现iFrame注入时的利用

图片来源于网络

iFrame注入是一种非常常见的跨站脚本攻击。 它包括已插入到网页或文章内容的一个或多个iframe代码，或一般下载一个可执行程序或进行其他动作使网站访客的电脑妥协。 在最好的情况下，谷歌可能会标注该网站“恶意”。 最糟糕的情况是，站点所有者和访问者最终使用了受恶意软件感染的计算机。

iFrame注入发生在当一个脆弱的网页上的iFrame通过一个用户可控输入显示另一个网页。

G ET /search.jsp?query=%3Ciframe%20src=%22https://google.com/?%22%3E%3C/iframe%3E HTTP/1.1

不同浏览器使用不同payload：

 (IE) (Firefox, Chrome, Safari)

多种利用方式如下：

 (IE)   (IE) (Firefox, Chrome, Safari) (Firefox, Chrome, Safari)http://target.com/something.jsp?query=#alert(1)

接受用户提供的数据作为iframe源URL可能会导致在Visualforce页面中加载恶意内容。

发生iFrame欺骗漏洞在以下情况：

1、数据通过不可信的源进入web应用程序。

2、数据作为iframe URL使用，而不进行验证。

通过这种方式，如果攻击者向受害者提供设置为恶意网站的iframesrc参数，则该框架将与恶意网站的内容一起呈现。

冬至礼物

公众号内回复：简历模板

翻译自 https://url.cn/5V7dJlo