一种有趣的安全隐患——界面劫持

[kindjeff]

这是一个演示链接： https://www.kindjeff.com/static/for_fun/v2ex_0.html

在这个链接里点击按钮之后，再来看我的 V2EX 主页： https://www.v2ex.com/member/kindjeff

会发现特别关注了我。思路很简单但是很有效。

[eastpiger]

看起来很厉害的样子。

除了我并没有发现特别关注了你呢

[isCyan]

劫持失败？

[shiny]

报错了：[Error] Blocked a frame with origin "https://www.v2ex.com" from accessing a frame with origin "https://www.kindjeff.com". Protocols, domains, and ports must match.

[mythabc]

iframe 233

[binux]

你是说 http://jsbin.com/todoqeqesu/edit?output 这样吗？

[kankana]

clickjacking?

[acmetal]

V2 应该本来就有防止被 iframe 的 js ，只不过。。。。

[kindjeff]

@binux 不是的， V2EX 的特别关注链接后面的 t 参数需要是点击者的注册日期～界面劫持其实比这个更简单。

[kindjeff]

@acmetal 浏览器不错， 23333 。我的 chrome 和同学的 edge 都是一片白。

[wjm2038]

失败了

[Mutoo]

Anything with <frame> and <iframe>. A site can use the X-Frame-Options header to prevent this form of cross-origin interaction.
https://developer.mozilla.org/en-US/docs/Web/Security/Same-origin_policy

[also24]

hhhhh 这很机智

[kindjeff]

之后失败的各位可以回复一下浏览器版本号。以及分辨率……
成功的也可以回一下。

[nanpuyue]

有意思。

[imlonghao673]

clickhijacking
几年前看过用来做吸粉的

[whoops]

@kindjeff chrome 版本 58.0.3018.3 （正式版本） unknown （ 64 位）
3653x2400

[xxxoooooxx]

chrome 阻止了第三方 cookie ，没反应

[oott123]

[Coxxs]

Clickjacking

[terence4444]

Firefox 无效，本来以为是我用了防跨站的 RequestPolicy ，后来把这个插件关了也是一样的。