Javascript漏洞客户端

Question

我关心的是下一个问题。

我有一个网页（无 ssl，http://example.com），我在其中实现了一个 JavaScript 例程，该例程为 https 网页（https://secure.example.edu）创建了一个 IFrame。此时一切正常，但如果我想从 Chrome 控制台中更改 iframe 位置（即使有相同的来源（X-FRAME-OPTIONS）策略），也可以使用 302 永久移动。所以我的问题是，用户是否有可能连接到http://example.com 而他不知道 iframe 位置发生了变化？没有在example.com 或secure.example.edu 上执行此操作的任何代码。

L.E.例如，假设在secure.otherdomain.com 上我有一个提交信用卡的表格。我如何向用户保证他将他的信息提交到该域而不是其他域。

Answer 1

我如何向用户保证他将他的信息提交到该域而不是其他域。

您不应该向用户保证任何此类事情，因为他们可能不会。地址栏显示为 example.com，并且没有指示用户可以实际验证的表单来自何处。它可能是来自 example.com 的页面元素、指向其他域的 iframe 或动态更改为指向攻击者服务器的 iframe。

我看到诸如 Braintree 或 taxamo 之类的页面使用该选项通过 iframe 将付款信息获取到他们的网页

要求用户在地址栏中未显示 https 的页面中输入信用卡信息显然是不安全的，并且明显违反了对商家的 PCI-DSS 合规性要求。

通常，商家有自己的网站证书，消费者应该信任商家，而不是信任第三方支付处理服务。商家不应该在非 https 页面上包含持卡人数据表单（通过 iframe 或任何其他方式），所以如果您发现了一些他们需要踢的。

Answer 2

我认为这永远不会 100% 确定。

但是，您可以这样做：使用普通浏览器窗口而不是 iframe。用户可以查看地址栏中的地址和相关证书。通过使用 iframe，这些基本信息对于简单用户来说是隐藏的。