W3C home > Mailing lists > Public > public-html-ig-zh@w3.org > September 2010

Re: 谈谈iframe sandbox

From: Twinsen Liang <twinsenliang@gmail.com>
Date: Thu, 30 Sep 2010 14:34:18 +0800
Message-ID: <AANLkTimKpwY73JbRHhwCQciytRq-FpKaB5EhAdjev3MX@mail.gmail.com>
To: Zi Bin Cheah <zibin@opera.com>
Cc: public-html-ig-zh@w3.org
晕,我的mail软件有点问题,发了好多封⋯⋯上web版才看到,我对不起大家⋯⋯55~~~

在 2010年9月30日 下午2:27,Twinsen Liang <twinsenliang@gmail.com>写道:

> 其实我们好早段时间做了一个类似的小咚咚,也是利用来进行虚假点击来刷SEO。
> 就是有点基于这样的沙盒“漏洞”的。
>
> http://www.webrebuild.org/scripts/seohacker_v1.bat
>
>
> 因为这里本地的bat生成的hta拥有操作员同等的权限,所以就是这个hta本身的权限是高于里面的iframe的。所以能控制里面的页面跳到搜索页并且进行点击。
>
> 当然,性质有点会象病毒,但是技术层面的考虑却是一片不错的蓝海。
>
>
> 这个SEOhacker的项目后面因为IE把这一沙盒问题当作“漏洞”增加了一个类似alert的提醒;所以最后停止了研究。难得斌爷感兴趣,重新上上来分享给大家。
>
>
> 在 2010-9-30,上午6:50, Zi Bin Cheah 写道:
>
> iframe很多网站都在用,虽然方便,不过却存在安全问题。
>
> whatwg提出了sandbox沙盒属性,目的在于监控跨域和脚本启动。sandbox值有allow-same-origin, allow-forms,
> 和 allow-scripts。如果只是单纯的sandbox属性没有值,那就是实行最大限制,这样iframe内容属于不同域,不能实行脚本和表单。
>
> 比方如果sandbox="allow-same-origin, allow-script"
> 那就表示iframe和母页可以互相抓取DOM(我猜),同时也让iframe可以执行脚本。
>
>
> Regards,
>
> Zi Bin Cheah / 谢子斌
>
> Web Evangelist
> / Developer Relations / Site Compatibility / Products Group /
>
> Opera Software ASA, Oslo, Norway
> + 47 23 69 25 81 / twitter: zibin
>
>
>
>
>
>
>
>
>
>
>
>
> *
> More Imagination More Creation -- TwinsenLiang . Net*
>
>


-- 
More Imagination More Creation ——TwinsenLiang.net
Received on Thursday, 30 September 2010 06:43:44 UTC

This archive was generated by hypermail 2.3.1 : Tuesday, 6 January 2015 20:43:45 UTC