フレームbusting as csrf

私は静的コードアナライザを使用してアプリケーションを分析していますが、これはCSRFの脆弱性のようにフレームを破るスクリプトにフラグを立てています。なぜこれが起こっているのか、運がないのかを調べています。助けをいただければ幸い私に何が起こっているのか、これが問題を持っているスクリプトの一部です：フレームbusting as csrf

<script type="text/javascript"> 
 
     if (self == top) { 
 
      document.getElementsByTagName("body")[0].style.display = "block"; 
 
     } else { 
 
      top.location = self.location; 
 
     } 
 
    </script>

出典

2016-07-14 FelipeGuerra

クライアント側のフレームつぶし技術は、（「フレームバスターが破裂」）安全ではありません。例えば、 https://www.owasp.org/images/0/0e/OWASP_AppSec_Research_2010_Busting_Frame_Busting_by_Rydstedt.pdf

上記のフレームバストコードにのみ依存している場合でも、悪意のあるユーザーはあなたのサイトをiframeに表示し、「クリックジグ」を使用して疑いのない犠牲者があなたのウェブサイトそれを意識することなく有害な行動を実行するための許可された要求を送信する=クロスサイトリクエスト '偽造'）。

出典

2016-07-14 22:28:25

私はクリックジャックに対する完全な保護ではないことを認識していますが、私の質問は次のようだと思います。フレームバスト処理を使用して脆弱性を導入していますか？ – FelipeGuerra

@FelipeGuerraあなたは新しい脆弱性を導入することはありませんが、あなたはその脆弱性を防ぐことはできません（クリックジャグ）ので、フレームバストするコードは誤ったセキュリティ感覚を提供する可能性があります。 –

フレームbusting as csrf

答えて

関連する問題