web安全-点击劫持

时间 2019-11-16

标签 web 安全点击劫持栏目 HTML 繁體版

原文原文链接

opacity=0
iframe是目标网站被内嵌了
1.用户亲手操做盗取用户
视频javascript

2.用户不知情
>* 引导点击其实点击的是覆盖在下面opacity=0的iframehtml

3.codejava

<body style="background: url(clickhijack.png) no-repeat">
    <iframe src="http://localhost:1521/post/15" width="800" height="600"></iframe>
</body>

4.点击劫持防护
>* javascript禁止内嵌
>* X-FRAME-OPTIONS禁止内嵌web

5.防止方法安全

if(top.location !== window.location){
    top.location = window.location;
}

6.http头处理
header('X-FRAME-OPTIONS: DENY')web安全