摘要:近期的工作都和交易有關(guān),寫代碼都特別謹(jǐn)慎,前面說(shuō)過(guò)前端如何防范跨站請(qǐng)求偽造攻擊,這次準(zhǔn)備簡(jiǎn)單說(shuō)說(shuō)防范點(diǎn)擊劫持。有兩種方式可以防范。使用防范判斷頂層視口的域名是不是和本頁(yè)面的域名一致,如果不一致就讓惡意網(wǎng)頁(yè)自動(dòng)跳轉(zhuǎn)到我方的網(wǎng)頁(yè)。
近期的工作都和交易有關(guān),寫代碼都特別謹(jǐn)慎,前面說(shuō)過(guò)前端如何防范跨站請(qǐng)求偽造攻擊(CSRF),這次準(zhǔn)備簡(jiǎn)單說(shuō)說(shuō)防范點(diǎn)擊劫持。
什么點(diǎn)擊劫持?最常見的是惡意網(wǎng)站使用 標(biāo)簽把我方的一些含有重要信息類如交易的網(wǎng)頁(yè)嵌入進(jìn)去,然后把 iframe 設(shè)置透明,用定位的手段的把一些引誘用戶在惡意網(wǎng)頁(yè)上點(diǎn)擊。這樣用戶不知不覺中就進(jìn)行了某些不安全的操作。
有兩種方式可以防范。
使用 JS 防范判斷頂層視口的域名是不是和本頁(yè)面的域名一致,如果不一致就讓惡意網(wǎng)頁(yè)自動(dòng)跳轉(zhuǎn)到我方的網(wǎng)頁(yè)。當(dāng)然你還可以惡心一下這些惡意網(wǎng)站,比如說(shuō)彈窗十幾次,或者跳轉(zhuǎn)到某些404頁(yè)面。
if (top.location.hostname !== self.location.hostname) { alert("您正在訪問(wèn)不安全的頁(yè)面,即將跳轉(zhuǎn)到安全頁(yè)面!"); top.location.href = self.location.href; }使用 HTTP 頭防范
通過(guò)配置 nginx 發(fā)送 X-Frame-Options 響應(yīng)頭,這樣瀏覽器就會(huì)阻止嵌入網(wǎng)頁(yè)的渲染。更詳細(xì)的可以查閱MDN上關(guān)于X-Frame-Options 響應(yīng)頭的內(nèi)容。
add_header X-Frame-Options SAMEORIGIN;
原文首發(fā)在我的 github 博客
文章版權(quán)歸作者所有,未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為,您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請(qǐng)注明本文地址:http://systransis.cn/yun/11280.html
摘要:近期的工作都和交易有關(guān),寫代碼都特別謹(jǐn)慎,前面說(shuō)過(guò)前端如何防范跨站請(qǐng)求偽造攻擊,這次準(zhǔn)備簡(jiǎn)單說(shuō)說(shuō)防范點(diǎn)擊劫持。有兩種方式可以防范。使用防范判斷頂層視口的域名是不是和本頁(yè)面的域名一致,如果不一致就讓惡意網(wǎng)頁(yè)自動(dòng)跳轉(zhuǎn)到我方的網(wǎng)頁(yè)。 近期的工作都和交易有關(guān),寫代碼都特別謹(jǐn)慎,前面說(shuō)過(guò)前端如何防范跨站請(qǐng)求偽造攻擊(CSRF),這次準(zhǔn)備簡(jiǎn)單說(shuō)說(shuō)防范點(diǎn)擊劫持。 什么點(diǎn)擊劫持?最常見的是惡意網(wǎng)站使用...
摘要:網(wǎng)絡(luò)黑白一書所抄襲的文章列表這本書實(shí)在是垃圾,一是因?yàn)樗幕ヂ?lián)網(wǎng)上的文章拼湊而成的,二是因?yàn)槠礈愃教?,連表述都一模一樣,還抄得前言不搭后語(yǔ),三是因?yàn)閮?nèi)容全都是大量的科普,不涉及技術(shù)也沒有干貨。 《網(wǎng)絡(luò)黑白》一書所抄襲的文章列表 這本書實(shí)在是垃圾,一是因?yàn)樗幕ヂ?lián)網(wǎng)上的文章拼湊而成的,二是因?yàn)槠礈愃教睿B表述都一模一樣,還抄得前言不搭后語(yǔ),三是因?yàn)閮?nèi)容全都是大量的科普,不涉及技術(shù)...
摘要:想閱讀更多優(yōu)質(zhì)原創(chuàng)文章請(qǐng)猛戳博客一,跨站腳本攻擊,因?yàn)榭s寫和重疊,所以只能叫??缯灸_本攻擊是指通過(guò)存在安全漏洞的網(wǎng)站注冊(cè)用戶的瀏覽器內(nèi)運(yùn)行非法的標(biāo)簽或進(jìn)行的一種攻擊??缯灸_本攻擊有可能造成以下影響利用虛假輸入表單騙取用戶個(gè)人信息。 前言 在互聯(lián)網(wǎng)時(shí)代,數(shù)據(jù)安全與個(gè)人隱私受到了前所未有的挑戰(zhàn),各種新奇的攻擊技術(shù)層出不窮。如何才能更好地保護(hù)我們的數(shù)據(jù)?本文主要側(cè)重于分析幾種常見的攻擊的類型...
摘要:禁止內(nèi)聯(lián)腳本執(zhí)行規(guī)則較嚴(yán)格,目前發(fā)現(xiàn)使用。典型的攻擊流程受害者登錄站點(diǎn),并保留了登錄憑證。站點(diǎn)接收到請(qǐng)求后,對(duì)請(qǐng)求進(jìn)行驗(yàn)證,并確認(rèn)是受害者的憑證,誤以為是無(wú)辜的受害者發(fā)送的請(qǐng)求。攻擊完成,攻擊者在受害者不知情的情況下,冒充受害者完成了攻擊。 隨著互聯(lián)網(wǎng)的發(fā)展,各種Web應(yīng)用變得越來(lái)越復(fù)雜,滿足了用戶的各種需求的同時(shí),各種網(wǎng)絡(luò)安全問(wèn)題也接踵而至。作為前端工程師的我們也逃不開這個(gè)問(wèn)題,今天一起...
摘要:禁止內(nèi)聯(lián)腳本執(zhí)行規(guī)則較嚴(yán)格,目前發(fā)現(xiàn)使用。典型的攻擊流程受害者登錄站點(diǎn),并保留了登錄憑證。站點(diǎn)接收到請(qǐng)求后,對(duì)請(qǐng)求進(jìn)行驗(yàn)證,并確認(rèn)是受害者的憑證,誤以為是無(wú)辜的受害者發(fā)送的請(qǐng)求。攻擊完成,攻擊者在受害者不知情的情況下,冒充受害者完成了攻擊。 隨著互聯(lián)網(wǎng)的發(fā)展,各種Web應(yīng)用變得越來(lái)越復(fù)雜,滿足了用戶的各種需求的同時(shí),各種網(wǎng)絡(luò)安全問(wèn)題也接踵而至。作為前端工程師的我們也逃不開這個(gè)問(wèn)題,今天...
閱讀 2381·2023-04-25 20:07
閱讀 3316·2021-11-25 09:43
閱讀 3679·2021-11-16 11:44
閱讀 2540·2021-11-08 13:14
閱讀 3188·2021-10-19 11:46
閱讀 906·2021-09-28 09:36
閱讀 3006·2021-09-22 10:56
閱讀 2385·2021-09-10 10:51