电 话：0
手 机：0
联系人：刘先生
E_mail：2074917417@qq.com
地 址：成都市金牛区
如何使用jQuery创建叠加内嵌框架？
发布时间：2022/01/10 丨 文章来源：未知 丨 浏览次数：
在HTML页面中，标签广泛用于嵌入另一个文档。很多广告引擎依靠使用这个标签来显示在网站中嵌入的营销部件。<br /> ? ? ? ?与其他HTML标签和功能类似，<iframe>同样可被用于承载攻击。只要想实现持久化，内嵌框架总是首选方案，为什么这么说呢？南昌网络公司小编认为有以下两个原因：<br /> ? ? ? ?第一，你可以完全控制内嵌框架的DOM内容，也就是说CSS内容也可以控制；<br /> ? ? ? ?第二，内嵌框架主要用于在当前页面嵌入其他文档的事实，为持久化通信渠道提供了直截了当的方法。<br /> ? ? ? ?不过由于可以控制内嵌框架中的DOM，包括HTML、CSS和JavaScript，所以你也可以利用内嵌框架把当前页面加载到一个叠加层里，从而在后台保持通信渠道畅通。所谓叠加层，指的是一个页面组件，比如一个内嵌框架可以在页面上看到，但代码及其他元素在后台并不可见，而是持续执行自己的逻辑。此外，HTML5的History API也很方便，特别适合在地址栏中遮蔽真正的URL。<br /> ? ? ? ?设想一个Web应用在用户认证前存在反射型XSS漏洞。你已经勾连目标，但XSS并不持久。为了防止丢失到目标浏览器的连接，你可以创建一个叠加层内嵌框架。这个内嵌框架没有边框，宽度和高度都是100%，源属性指向该Web应用的登录页面。<br /> ? ? ? ?在内嵌框架渲染后的极短时间内，被勾连浏览器会显示登录页面的内容，但地址栏中的URI仍然是以前的。而目标在这个页面上执行的任何操作都会在叠加层内嵌框架中发生，相当于把目标有效地捕获到了一个新框架内。与此同时，在后台，通信渠道仍然运行，你还可以继续发送命令，与目标浏览器交互。<br /> ? ? ? ?目标不可能发现攻击，唯一可能引起注意的事件，就是渲染内嵌框架时发生的页面重载，以及浏览器地址栏中包含了与目标期望不一样的URI。<br /> ? ? ? ?下面南昌网络公司小编为大家介绍展示一下使用jQuery创建一个叠加内嵌框架的过程。<br /> ? ? ? ?createIframe: function(type, params, styles, onload) {<br /> ? ? ? ?var css = {};<br /> ? ? ? ?if (type == 'hidden') {<br /> ? ? ? ?css = $j.extend(true, {<br /> ? ? ? ?'border':'none', 'width':'1px', 'height':'1px',<br /> ? ? ? ?'display':'none', 'visibility':'hidden'},<br /> ? ? ? ?styles);<br /> ? ? ? ?}<br /> ? ? ? ?if (type == 'fullscreen') {<br /> ? ? ? ?css = $j.extend(true, {<br /> ? ? ? ?'border':'none', 'background-color':'white', 'width':'100%',<br /> ? ? ? ?'height':'100%',<br /> ? ? ? ?'position':'absolute', 'top':'0px', 'left':'0px'},<br /> ? ? ? ?styles);<br /> ? ? ? ?$j('body').css({'padding':'0px', 'margin':'0px'});<br /> ? ? ? ?}<br /> ? ? ? ?var iframe = $j('<iframe />').attr(params).css(<br /> ? ? ? ?css).load(onload).prependTo('body');<br /> ? ? ? ?return iframe;<br /> ? ? ? ?}<br /> ? ? ? ?从上面可以看出：这个函数可以创建叠加层（if type == 'fullscreen'），也可以创建隐藏的内嵌框架。<br /> ? ? ? ?从代码看，创建这两种内嵌框架的区别就是CSS选择符不同。如果是隐藏的内嵌框架，就使用最小的框架大小（1像素），而且没有边框，再使用visibility和display属性使其不可见。如果是层叠式嵌入框架，则元素尺寸最大化，删除窗口上部和左侧多余的空间。<br /> ? ? ? ?为了通过层叠式内嵌框架嵌入文档，需要通过自定义的CSS选择器删除其边框，并正确将新元素定位，包括控制它在浏览器窗口的大小。正确的大小是外边距和内边距均为0，高度和宽度均为100%。如果利用这些属性再加上绝对元素定位，就可以得到与当前浏览器窗口边框完美匹配的内嵌框架。<br /> ? ? ? ?前面的例子使用jQuery扩展了已有的CSS样式。创建层叠式内嵌框架时，可以像下面的代码这样调用createIframe函数。在这个例子中，加载了同源页面login.jsp，没有传入任何CSS规则或回调。<br /> ? ? ? ?createIframe('fullscreen',{'src':'/login.jsp'}, {}, null);<br /> ? ? ? ?如果初始勾连的页面不一样，比如是/page.jsp，那么用户可能发现叠加了内嵌框架后的结果有问题。页面的内容来自/login.jsp，而浏览器地址栏中显示的却是/page.jsp。为了解决这个问题，可以利用HTML5 History API13：<br /> ? ? ? ?history.pushState({be:"EF"}, "page x", "/login.jsp");<br /> ? ? ? ?执行前面的代码会让浏览器把地址栏中显示的内容改成http://<勾连的域>/login.jsp。<br /> ? ? ? ?很明显，为了安全起见，必须向pushState传入一个同源的URL，否则就可能触发安全警报。使用pushState操纵浏览器地址栏最有意思的是，浏览器并不会加载指定的资源，比如这里的/login.jsp，而且这个资源都不一定需要真实存在。<br /> ? ? ? ?最后，南昌网站建设公司-网络想告诉大家的是：利用内嵌框架实现对目标浏览器的持续控制，只是可供使用的多种技术之一。这种技术的优点是得到浏览器广泛支持，而在当前内容上叠加相同内容更具隐蔽性，不容易被发现。不过这种技术也有局限性。如果你想嵌入的内容中包含扩张内嵌框架的代码， 或者限制性X-Frame-Options首部，那就要使用其他技术了，如果想深入了解这些技术的朋友，欢迎继续关注网络官网动态。同时，网络专业为您提供网站建设、微信开发、手机APP开发等服务，如有需要，随时欢迎和我们联系，我们将专业为您服务！ </p> </div> <p>PS：所有作品版权归原创作者所有，与本站立场无关，如不慎侵犯了你的权益，请联系我们告知，我们将做删除处理！</p> <div class="page_back"> <div> 上一篇：<a href='/xingyezixun/2022011017014.html'>深圳做软件开发的公司-「项目快速交付」</a> </div> <div> 下一篇：<a href='/xingyezixun/2022011017016.html'>旅游APP制作要注意哪些问题？</a> </div> <span class="bapage_back_up"><a href="/xingyezixun/">返回列表页</a></span> </div> <!-------翻页 END---------> </div> </div> <!------------main END------------> <div id="foot_bg"> <div id="foot" class="warp"> <div class="copy"> <p>Copyright © 20019-2023 荟萃信息网 版权所有 <a href="http://www.beian.miit.gov.cn">蜀ICP备16021156号-2</a> <script> var _hmt = _hmt || []; (function() { var hm = document.createElement("script"); hm.src = "https://hm.baidu.com/hm.js?92d475e604c0b54a22f1d6b404ad6885"; var s = document.getElementsByTagName("script")[0]; s.parentNode.insertBefore(hm, s); })(); </script> <script>(function() {var _53code = document.createElement("script");_53code.src = "https://tb.53kf.com/code/code/84b2462dfe3afd083ae49ea91593c7fe5/1";var s = document.getElementsByTagName("script")[0]; s.parentNode.insertBefore(_53code, s);})();</script></p> <p>电 话：0 手 机：0 传 真： E-mail：2074917417@qq.com</p> <p>地 址：成都市金牛区 </p> <p>技术支持：<a href="/" target="_blank">荟萃网络科技</a> </p> </div> <div class="foot_erweima"><img src="/skin/img/weixin.jpg"/> <p>扫码关注我们</p> </div> </div> </div> <div id="foot_nav_bg"> <div class="warp foot_nav"><a href="/">网站首页</a> | <a href="/app/">app开发</a>| <a href="/Development/">小程序开发</a>| <a href="/sem/">SEM竞价托管</a>| <a href="/xingyezixun/">行业资讯</a> </div> </div> <!-------------------------> <div class="toolbar"> <a href="javascript:;" class="toolbar-item toolbar-item-weixin"><span class="toolbar-layer"> <p>扫码关注我们</p> <img src="/skin/img/weixin.jpg"/></span></a> <a href="http://wpa.qq.com/msgrd?v=3&site=&menu=yes&uin=2074917417" target="_blank" class="toolbar-item toolbar-item-kefu"></a> <a href="javascript:scroll(0,0)" id="top" class="toolbar-item toolbar-item-top"></a> </div> <?php include_once("baidu_js_push.php") ?> </body> </html>
