Frame Buster Buster ... Buster-Code erforderlich

Question

Angenommen, Sie möchten nicht, dass andere Websites Ihre Website in einem "Frame" anzeigen. <iframe> :

<iframe src="http://example.org"></iframe>

Sie fügen also ein Anti-Framing-JavaScript in alle Ihre Seiten ein, das Frames aufhebt:

/* break us out of any containing iframes */
if (top != self) { top.location.replace(self.location.href); }

Ausgezeichnet! Jetzt "sprengen" oder brechen Sie automatisch aus jedem enthaltenen iframe aus. Es gibt nur ein kleines Problem.

Wie sich herausstellte, Ihr Frame-Busting-Code kann geknackt werden , wie hier gezeigt :

<script type="text/javascript">
    var prevent_bust = 0  
    window.onbeforeunload = function() { prevent_bust++ }  
    setInterval(function() {  
      if (prevent_bust > 0) {  
        prevent_bust -= 2  
        window.top.location = 'http://example.org/page-which-responds-with-204'  
      }  
    }, 1)  
</script>

Dieser Code bewirkt Folgendes:

• erhöht einen Zähler jedes Mal, wenn der Browser versucht, von der aktuellen Seite weg zu navigieren, über die window.onbeforeunload Ereignisbehandler
• richtet einen Timer ein, der jede Millisekunde über setInterval() und wenn er sieht, dass der Zähler erhöht wird, ändert er den aktuellen Standort zu einem Server, den der Angreifer kontrolliert
• dass der Server eine Seite mit dem HTTP-Statuscode 204 was den Browser nicht dazu veranlasst, irgendwo zu navigieren

Meine Frage ist - und dies ist mehr ein JavaScript-Rätsel als eine tatsächliche Problem -- wie kann man den Frame-Buster besiegen?

Ich habe mir ein paar Gedanken gemacht, aber bei meinen Tests hat nichts funktioniert:

• der Versuch, die onbeforeunload Veranstaltung über onbeforeunload = null hatte keine Wirkung
• Hinzufügen eines alert() das Anhalten des Prozesses lässt den Benutzer wissen, dass es passiert, greift aber in keiner Weise in den Code ein; wenn Sie auf OK klicken, wird das Busting normal fortgesetzt
• Mir fällt keine Möglichkeit ein, die setInterval() Zeitschaltuhr

Ich bin kein großer JavaScript-Programmierer, also hier ist meine Herausforderung für Sie: Hey Buster, kannst du den Frame-Busting-Buster sprengen?

Answer 1

FWIW, die meisten aktuellen Browser Unterstützung die X-Frame-Optionen: verweigern die auch dann funktioniert, wenn das Skript deaktiviert ist.

IE8:
http://blogs.msdn.com/ie/archive/2009/01/27/ie8-security-part-vii-clickjacking-defenses.aspx

Firefox (3.6.9)
https://bugzilla.mozilla.org/show_bug.cgi?id=475530
https://developer.mozilla.org/en/The_X-FRAME-OPTIONS_response_header

Chrome/Webkit
http://blog.chromium.org/2010/01/security-in-depth-new-security-features.html
http://trac.webkit.org/changeset/42333

Answer 2

Ich bin mir nicht sicher, ob das machbar ist oder nicht - aber wenn man den Rahmen nicht aufbrechen kann, warum nicht einfach eine Warnung anzeigen. Zum Beispiel, wenn Ihre Seite ist nicht die "Top-Seite" erstellen Sie eine setInterval Methode, die versucht, den Rahmen zu brechen. Wenn Ihre Seite nach 3 oder 4 Versuchen immer noch nicht die erste Seite ist, erstellen Sie ein div-Element, das die gesamte Seite (modale Box) mit einer Nachricht und einem Link wie...

Sie sehen diese Seite in einem nicht autorisierten Frame-Fenster - (Blah blah... mögliches Sicherheitsproblem)

Klicken Sie auf diesen Link, um dieses Problem zu beheben

Nicht die beste, aber ich sehe keine Möglichkeit, wie sie sich da herauswinden könnten.

Answer 3

Wir haben den folgenden Ansatz auf einer unserer Websites von http://seclab.stanford.edu/websec/framebusting/framebust.pdf

<style>
 body { 
 display : none   
}
</style>
<script>
if(self == top) {
document.getElementsByTagName("body")[0].style.display = 'block';
}
else{
top.location = self.location;
}
</script>

Answer 4

Ich habe mir das hier ausgedacht, und es scheint zu funktionieren, zumindest in Firefox und im Opera-Browser.

if(top != self) {
 top.onbeforeunload = function() {};
 top.location.replace(self.location.href);
}

Answer 5

Nachdem ich eine Weile darüber nachgedacht habe, glaube ich, dass dies ihnen zeigen wird, wer der Boss ist...

if(top != self) {
  window.open(location.href, '_top');
}

Verwendung von _top als Zielparameter für window.open() wird es im selben Fenster gestartet.