iframe注入和非法重定向

iFrame注入是一种很是常见的跨站点脚本（或XSS）***。它由一个或多个iFrame标签组成，这些标签已插入页面或帖子的内容中，而且一般会下载可执行程序或执行其余危害网站访问者计算机的操做。在最佳状况下，Google可能将网站标记为“恶意”。最坏的状况是网站全部者和访问者最终都感染了恶意软件。

（1）iFram注入，当易受***的网页上的框架经过用户可控制的输入显示另外一个网页时发生。

GET/search.jsp?query=%3Ciframe%20src=%22https://google.com/?%22%3E%3C/iframe%3E HTTP / 1.1
Host：****.net

</iframe><iframe src="vbscript:msgbox(1)"></iframe> (IE)

<iframe src="data:text/html,<script>alert(0)</script>"></iframe> (Firefox, Chrome, Safari)
![](https://s4.51cto.com/images/blog/202007/16/911bfbb5625abfbb961b34f6c72ad04f.jpg?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)
<iframe src="vbscript:msgbox(1)"></iframe> (IE)

  <iframe src="javascript:alert(1)"></iframe><iframe src="vbscript:msgbox(1)"></iframe> (IE)

<iframe src="data:text/html,<script>alert(0)</script>"></iframe> (Firefox, Chrome, Safari)

<iframe src="data:text/html;base64,PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg=="></iframe> (Firefox, Chrome, Safari)

http://target.com/something.jsp?query=<script>eval(location.hash.slice(1))</script>#alert(1)

接受用户提供的数据做为iframe源URL可能会致使在Visualforce页面中加载恶意内容。

出现如下状况时，会发生欺骗漏洞：

1. 数据经过不受信任的来源进入Web应用程序。
2. 数据iframe未经验证即用做URL。

这样，若是***者向受害者提供iframesrc了恶意网站的参数集，则将使用恶意网站的内容来渲染框架。

<iframe src =“ http://evildomain.com/”>

（2）重定向（基于DOM）
基于DOM的开放重定向漏洞。当经过用户控制的输入将网页重定向到另外一个域中的另外一个URL时，就会发生打开重定向。

URL: https://*******.net/index.htm?url=http://evil.com/?orignal_url/
Parameter Name :url
Parameter Type :GET
Pattern :http://evil.com/?orignalurl/

影响：
***者能够利用此漏洞将用户重定向到其余恶意网站，这些网站能够用于网络钓鱼和相似***。
附加：
尽量不要将用户输入的内容用做URL。
若是您确实须要动态URL，请使用白名单。列出有效的，可接受的URL，而不接受其余URL。
确保仅接受位于受信任域上的URL。
外部参考：
http参数可能包含URL值，而且可能致使Web应用程序将请求重定向到指定的URL。经过将URL值修改成恶意站点，***者能够成功启动网络钓鱼诈骗并窃取用户凭据。因为修改后的连接中的服务器名称与原始站点相同，所以网络钓鱼尝试具备更可信赖的外观。
翻译自https://url.cn/5V7dJlo*