猫史档案馆

用户:

嗯哼君渠源查看:1386 回复:93 评论:174 创建时间:2020-05-24T18:42:15

首先，关于今日下午（2020.5.24），我在好几个帖子里注入iframe的事情，因为引发了不小的喵动，我对此表示歉意

其次，我要跟大家澄清一下，我所谓的“目的”与“方法”是什么

本人最近在学习网络安全，看了一些白帽的书籍

网络安全工程师分为两种：白帽与黑客。白帽专门挖掘BUG，提交给官方帮助他们优化网页。黑客则是有着不可告人的目的

而本人的，则属于白帽一列。为什么？因为本人虽然可以通过这个漏洞进行更恶意的行为，甚至在你们都不知情的情况下进行，但是本人还是选择了这样一个无害的方法，来通知告诫大家与官方这个BUG

白帽的初心正如上面所说，是希望网站能越来越好，让官方能看到这个BUG，并进行及时的修复，以避免一些不怀好心的人先发现这个漏洞，并对此进行挖掘与攻击

所以，还请各位冷静下来（我甚至还看到一些骂我的）：这不是一个恶作剧，更不是什么“黑客”！

下面，我来公布一下攻击原理，以供官方修复：

首先，同源规则与内联框架啥的自己百度，这里就不再叙述了

我们通过插入一个iframe，来进行父页面的注入

为此，我们就需要一个自己的https网页（还不能是http，要不然会被拦截），最简单的方式莫过于github了

在index.html里面输入以下代码，也是最基础的代码（仅有一个弹出的对话框）：

<!DOCTYPE html>
<html>
	<head>
		<meta charset="utf-8">
		<title>嗯哼君 渠源</title>
		<script>
			window.alert("提倡白帽友好交流，杜绝恶意注入行为！");
		</script>

	</head>
</ html>

这就是一个最基础的注入代码了，然后我们再通过src访问我们的网页，即可成功进行注入

（PS：还有其他的几个点，如不能直接用srcdoc指定内容，会被过滤等等）

其实，我为什么敢这么放出来，以为我很清楚：基于同源规则，很难去编写修改父页面元素的代码

为此，我希望能有更多的白帽们，加入我的行列，一起为编程猫的网络安全尽自己的一份力（联系方式见源代码）

PS：谁去找找官方啊

Godeyes

sofa

沙发被我抢到了

一枚云清

加油a

一枚云清

我挺你

一枚云清

我就知道你不会瞎皮的

...不像我

阿尔法给我点赞了！

一个XXX真萌新

你留下了一个懵逼的我

传说中的神眷

懵逼树上懵逼果，懵逼树下你和我

ZH-Y-Q

前排兹磁&amp;amp;amp;lt;!DOCTYPE html&amp;amp;amp;gt; &amp;amp;amp;lt;meta charset="utf-8" data-mce-fragment="1" /&amp;amp;amp;gt; &amp;amp;amp;lt;title data-mce-fragment="1"&amp;amp;amp;gt;嗯哼君渠源&amp;amp;amp;lt;/title&amp;amp;amp;gt; &amp;amp;amp;lt;/ html&amp;amp;amp;gt;

Tobylai

Ha
（我也会的）

想问一下大佬，有没有什么办法突破同源框架呢

AC收我为徒把！(看我真挚的眼神)

蕉饼

我去

149139

前排

cave_dragon

<!DOCTYPE h喵l>
<h喵l>
	<head>
		<meta charset="utf-8">
		<title>嗯哼君 渠源</title>
		<script>
			window.alert("提倡白帽友好交流，杜绝恶意注入行为！");
		</script>

	</head>
</ h喵l>