Chọn lọc Framebursting

Question

tôi muốn triển khai Framebursting chọn lọc cho ứng dụng iframe của mình.

iframe của tôi là có sẵn tại www.mywebsite.con/iframe.aspx?lic=1234

Khi trang web của bên thứ ba lưu trữ iframe của tôi là (PayedWebsited1.con HOẶC PayedWebsited2.con) VÀ tùy chọn lic=1234 cũng tồn tại, hiển thị iframe. Đối với bất kỳ gian lận khác, chuối hiển thị!

Tôi có thể làm như thế nào?

Answer 1

Global.asax đã thực hiện thủ thuật!

Sub Application_BeginRequest(ByVal sender As Object, ByVal e As EventArgs) 
     Dim ref As String = HttpContext.Current.Request.ServerVariables("HTTP_REFERER") 
     If Not ref.Contains("PayedWebsited1") And Not ref.Contains("PayedWebsited2") Then 
      Response.Redirect("MYDOMAIN", True) 
     End If 
End Sub 

Nhờ tất cả!

Answer 2

Do tính bảo mật, trình duyệt của bạn sẽ không cho phép bạn sử dụng javascript để phát hiện URL của trang gốc (nghĩa là trang chứa iframe hiển thị trang của bạn).

Các giải pháp duy nhất tôi có thể nghĩ đến là:

1. Nhấn mạnh rằng người dùng của trang iframe.aspx của bạn, bao gồm một param GET bổ sung mà khẳng định lĩnh vực mà họ đang sử dụng.
2. Sử dụng Request.UrlReferrer để có được giới thiệu

Trên trang mà bạn render, bạn nên có một chữ đó, bạn nên muốn ngăn chặn người đó từ khung trang của bạn, bạn chỉ có thể thêm javascript cần thiết để buộc các khung hình.

Thật không may nếu Javascript bị vô hiệu hóa, điều này sẽ làm cho mã của bạn vô dụng ...

Hope this helps?

protected void page_load(object sender, EventArgs e) 
{ 
    bool killFrames = false; 
    if(Request.QueryString["lic"] == null) 
     killFrames = true; 
    if(!killFrames && Request.UrlReferrer != null) 
    { 
     // do some database check against the LIC and Referrer 
     // and set killFrames accordingly. 
    } 
    if(killFrames) 
    { 
     literalFrame.Text = "<script type=\"text/javascript\">if(top.location != location) { top.location.href = document.location.href; }</script>"; 
     // or show the bananas 
    } 
    else 
    { 
     // render the page accordingly. 
    } 
} 

Answer 3

tôi sẽ cố gắng chỉ ra một giải pháp cho vấn đề chung của bạn và không phải vấn đề kỹ thuật đặc biệt này, mà như xa như tôi biết là không thể đối với biện pháp phòng ngừa an ninh được thực hiện bởi tất cả các trình duyệt web.

---

Bạn cần một số loại lắc tay giữa ứng dụng của họ và của bạn và điều đó sẽ được thực hiện phía máy chủ.

Mỗi PayedWebsite phải có mật khẩu (hoặc nếu chúng sử dụng địa chỉ IP tĩnh bạn có thể sử dụng). Nội bộ trên máy chủ của họ (bằng cách sử dụng CURL có thể được) họ shold gửi cho bạn -via POST- mật khẩu của họ; sau đó bạn trả lại mã thông báo được sử dụng trong khung nội tuyến.

iframe.aspx?lic=1234&token=d16evg5tr44e0trty45xp6es5 

Và mã thông báo chỉ hoạt động một lần; do đó, quy trình sẽ được lặp lại mỗi khi khung nội tuyến cần được mở. Và bạn từ chối mọi kết nối không bao gồm mã thông báo hợp lệ.

Answer 4

Vấn đề là, số giấy phép đó sẽ không giúp ích gì cả - cho dù bạn sẽ sử dụng giải pháp phía máy chủ hay trong javascript. Các rạp sẽ có thể thấy số giấy phép đó trong PayedWebsite1.com.

Như đã nói, bạn không thể có được vị trí khung chính, nhưng bạn có thể nhận được liên kết giới thiệu - nó tương đương với khung chính, nếu trang của bạn được tải trong khung nội tuyến.

if (window.top.location !== document.location) { // only if we're in iframe 
          // we get host of our referrer 
    var host = document.referrer.match(new RegExp("(http|https)://(.*?)/.*$"))[2]; 
    host = host.toLowerCase(); // convert to lower case 
    var myHost = document.location.host.toLowerCase(); 
    if (
     host !== myHost     // so we can click on links in an iframe 
     && host !== 'payedwebsite1.com' 
     && host !== 'payedwebsite2.com' 
    ) { 
     window.top.location.href = document.location.href; 
    } 
} 

Được biết, kỹ thuật này có thể bị đánh bại.Xem thêm thông tin tại http://javascript.info/tutorial/clickjacking

Đối với các trình duyệt mới hơn, bạn có thể gửi tiêu đề đặc biệt:

Logic giữ giống nhau, chỉ trong server-side. Kiểm tra giới thiệu, nếu PayedDomain hoặc tên miền của riêng bạn, chỉ cần tiếp tục. Nếu không, hãy gửi tiêu đề này.

Answer 5

Tôi không phải là chuyên gia .NET, nhưng có vẻ như giải pháp của bạn có thể dễ dàng được giải quyết bằng cách theo dõi tiêu đề giới thiệu mà khách hàng gửi đến trang của bạn khi tải nội dung iframe.

Bạn có thể muốn tham khảo một câu hỏi khác liên quan đến tham khảo tiêu đề: how should we validate http header referrer in aspx .net

Về cơ bản, bạn sẽ làm như sau

1. Sử dụng tiêu đề giới thiệu để có được những tên miền
2. Tra cứu tên miền trong cơ sở dữ liệu của bạn (để xem nếu có giấy phép cho trang web đó)
3. Gửi trang thực hoặc chuối tùy thuộc vào kết quả của trận đấu.

Answer 6

Nếu có thể cho người sử dụng của bên thứ ba của bạn để bao gồm một tập tin javascript, hoặc lý tưởng gửi một yêu cầu trong ASP trước khi vẽ trang, điều này là những gì tôi sẽ làm gì:

Javascript

1. Tạo trang ASP (Tôi làm PHP, vì vậy ví dụ của tôi bằng PHP) trên máy chủ của bạn kiểm tra liên kết giới thiệu và số giấy phép để khớp với tài khoản trong cơ sở dữ liệu của bạn. Tệp ASP sau đó sẽ xuất các hàm javascript sẽ thay thế hoặc chèn vào phần tử iframe được chỉ định của bạn bằng khóa "một lần sử dụng" mà bạn tạo. Các tập tin có thể trông tương tự như sau:

   <?php 
   $lic = $_GET['lic']; // Do better validation (short for demo purposes) 
   if (valid_license($lic, $_SERVER['HTTP_REFERER'])) { 
       $one_time_key = get_access_key($lic); 
       ?> 
       function drawIframe() { 
        document.getElementById('iframe_target').innerHTML = "<iframe src='mysite.php?key=<?php echo $one_time_key;?>'></iframe>"; 
       } 
       <?php 
   } 
   else { 
       echo "You are not authorized to use this service."; 
   } 
   

2. Có khách hàng của bạn bao gồm mã này javascript như một sự thay thế của iframe bạn, trong một thời trang tương tự như sau:

   <script src="http://www.yoursite.com/preauth.php?lic=1234"></script> 
   <script>drawIframe();</script> 
   <div id="iframe_target"></div> 
   

3. Trên trang đó là được tải bởi khung nội tuyến, ngay lập tức kiểm tra khóa mà bạn đã tạo dựa trên giá trị được chuyển đến iframe. Nếu nó hợp lệ, ngay lập tức xóa hoặc thay đổi trạng thái của khóa để bạn biết nó đã được sử dụng. Sau đó hiển thị ứng dụng phù hợp.

   • phương pháp javascript Đây sẽ là phương pháp đau đớn nhất cho người sử dụng của bên thứ ba của bạn, mặc dù nó có thể bị đánh bại (người dùng có thể thay đổi "giới thiệu" được gửi tới máy chủ của bạn, mặc dù nó là khó xảy ra.)

ASP

Nếu bạn có thể có được người dùng của bạn để thực hiện một yêu cầu đến địa chỉ của bạn trong vòng máy chủ của họ, bạn sẽ loại bỏ để lộ bất kỳ thông tin rủi ro như giấy phép cho người dùng. Họ có thể gọi một cái gì đó như $key = file_get_contents("http://www.yoursite.com/preauth.asp?lic=1234"); Ngay sau khi họ có thể xuất ra iframe bằng khóa sử dụng một lần mà bạn vừa tạo.