父页面操作iframe子页面的安全漏洞及跨域限制问题

一、父子交互的跨域限制

同域情况下，父页面和子页面可以通过iframe.contentDocument或者parent.document来交互（彼此做DOM操作等，如父页面往子页面注入css）。

跨域情况下，就会有限制，无法相互操作。

【解决办法】

1.主域不同
　　没招

2.主域相同，子域不同
　　以父(a.baidu.com)子(b.baidu.com)为例：
　　这俩页面相互操作，要是想解决跨域限制，必须设置一个共同的主域，即document.domain="baidu.com"

二、禁止父页面操作子页面

现在很多公司的各个业务线都使用了同一套通行证体系，有时候为了方便不同业务线接口间的相互调用，会把a.baidu.com、b.baidu.com等的domain都设置为baidu.com，这就造成了一定的安全隐患。

黑客可以通过寻找某个安全防范较薄弱的业务线网站，比如c.baidu.com，绕过字符过滤注入xss攻击代码，在c.baidu.com的页面中创建一个x.baidu.com的iframe，往iframe中注入js代码，然后利用共享的通行证中的cookie和token，调用x.baidu.com中的某些ajax请求，对x.baidu.com进行跨站攻击。

【屏蔽掉此漏洞方案】

1.营造跨域，如上所述，跨域状态下，父子无权互相操作。各业务线的document.domain在使用完主域之后，一定要及时设置回自己的二级域名去。

2.禁止本站页面被其他页面以iframe形式调用。判断当前页如果被iframe包含，那么就改变当前页的url，从而避免被继续注入js脚本。

代码如下：if (window !== top) location.href = "about:blank";//跳转至空页面 也可以是任意url。如，http://ni.nongshalei

时间： 2024-08-03 20:16:58

父页面操作iframe子页面的安全漏洞及跨域限制问题的相关文章

父子页面之间元素相互操作(iframe子页面)

js/jquery获取iframe子页面中元素的方法: 一.使用window.frames["iframe的ID"]获取元素 window.onload = function() { var oIframe = window.frames["oIframe"].document.getElementById("getFrame"); console.log(oIframe); } 注意:此处一定要加上window.onload或者DOMConte

父页面向iframe子页面传递参数

父页面: <iframe src="video.html" width="100%" height="400" name="vedioiframe" style="border: none; overflow:hidden" scrolling="no" link="http://www.baidu.com/"></iframe> 子页面: v

iframe子页面js调用父页面js函数/父页面调用Iframe子页面中js方法

1.假设当前页面为a.html, iframe的src页面为b.html,其代码如下: 1 <span class="tag"><html> 2 <br></span><span class="tag"><head> 3 <br></span><span class="tag"><title></span><s

父页面调用iframe子页面js方法

<iframe name="demoIframe" src="demo.html"></iframe> demo.html : <head> <script> function query(){ alert(1); } </script> </head> 父页面调用: window.demoIframe.document.query();

iframe子页面获取父页面元素的方法

取得iframe中元素的方法有很多,在本文为大家介绍下在iframe子页面获取父页面元素的方法,下面有个不错的示例,感兴趣的朋友可以参考下 在iframe子页面获取父页面元素 代码如下: 复制代码代码如下: $.('#objld', parent.document); 在父页面获取iframe子页面的元素 代码如下: 复制代码代码如下: $("#objid", document.iframes('iframe').document) 或 复制代码代码如下: $(document.get

jquery读取iframe子页面和父页面的处理

1. jquery 在iframe子页面获取父页面元素代码如下: $("#objid", parent.document) 2. jquery在父页面 获取iframe子页面的元素 代码如下: $("#objid",document.frames('iframename').document) 3.js 在iframe子页面获取父页面元素代码如下: indow.parent.document.getElementByIdx_x("元素id");

jQuery操作iframe子页中元素代码实例

jQuery操作iframe子页中元素代码实例:本章节介绍一下如何在父页面中操作iframe子页面中的元素,希望能够给需要的朋友带来一定的帮助.一.父页面代码: <!DOCTYPE html> <html> <head> <meta charset=" utf-8"> <meta name="author" content="http://www.softwhy.com/" /> <

easyUI的iframe子页面操作父页面元素

曾经试过这样的方法 在iframe子页面获取父页面元素       代码如下:       $('#objId', parent.document); 这样可以获得父页面的元素,但是调用EasyUI的方法的时候,就会报错. 郁闷了很久很久,最终找到方案,写法的区别,如下: parent.$('# objId') 这样调用方法就不会报错 如: parent.$('# objId').tabs("add", { title: title, content: content, closabl

转 easyUI的iframe子页面操作父页面元素

曾经试过这样的方法 在iframe子页面获取父页面元素      代码如下:      $('#objId', parent.document); 这样可以获得父页面的元素,但是调用EasyUI的方法的时候,就会报错. 郁闷了很久很久,最终找到方案,写法的区别,如下: parent.$('#objId') 这样调用方法就不会报错 如: parent.$('#objId').tabs("add", { title: title,      content: content,      c