如何解析iFrame注入时的利用

本篇文章为大家展示了如何解析iFrame注入时的利用，内容简明扼要并且容易理解，绝对能使你眼前一亮，通过这篇文章的详细介绍希望你能有所收获。

创新互联公司为企业级客户提高一站式互联网+设计服务，主要包括成都网站设计、网站建设、重庆App定制开发、微信平台小程序开发、宣传片制作、LOGO设计等，帮助客户快速提升营销能力和企业形象，创新互联各部门都有经验丰富的经验，可以确保每一个作品的质量和创作周期，同时每年都有很多新员工加入，为我们带来大量新的创意。 

iFrame注入是一种非常常见的跨站脚本攻击。它包括已插入到网页或文章内容的一个或多个iframe代码，或一般下载一个可执行程序或进行其他动作使网站访客的电脑妥协。在最好的情况下，谷歌可能会标注该网站“恶意”。最糟糕的情况是，站点所有者和访问者最终使用了受恶意软件感染的计算机。

iFrame注入发生在当一个脆弱的网页上的iFrame通过一个用户可控输入显示另一个网页。

GET/search.jsp?query=%3Ciframe%20src=%22https://google.com/?%22%3E%3C/iframe%3E HTTP/1.1

不同浏览器使用不同payload：

 (IE)alert(0)"> (Firefox, Chrome, Safari)

多种利用方式如下：

 (IE)   (IE)alert(0)"> (Firefox, Chrome, Safari) (Firefox, Chrome, Safari)http://target.com/something.jsp?query=#alert(1)

接受用户提供的数据作为iframe源URL可能会导致在Visualforce页面中加载恶意内容。

发生iFrame欺骗漏洞在以下情况：

1、数据通过不可信的源进入web应用程序。

2、数据作为iframe URL使用，而不进行验证。

通过这种方式，如果攻击者向受害者提供设置为恶意网站的iframesrc参数，则该框架将与恶意网站的内容一起呈现。

上述内容就是如何解析iFrame注入时的利用，你们学到知识或技能了吗？如果还想学到更多技能或者丰富自己的知识储备，欢迎关注创新互联行业资讯频道。