フレームバスティングバスターの無効化 他の Web サイトが自分のサイトを 内に埋め込むのを防ぐシナリオを考えてみましょう。これを行うには、次のフレームバスティング JavaScript をページに組み込みます:</p> <div class="code" style="position:relative; padding:0px; margin:0px;"><pre>/* break us out of any containing iframes */ if (top != self) { top.location.replace(self.location.href); }</pre><div class="contentsignin">ログイン後にコピー</div></div> <p>このコードは効果的ですが、フレームバスティング バスターによってバイパスできます:</p> <div class="code" style="position:relative; padding:0px; margin:0px;"><pre><script type="text/javascript"> var prevent_bust = 0 window.onbeforeunload = function() { prevent_bust++ } setInterval(function() { if (prevent_bust > 0) { prevent_bust -= 2 window.top.location = 'http://example.org/page-which-responds-with-204' } }, 1) </script></pre><div class="contentsignin">ログイン後にコピー</div></div> <p>This Buster は次のように動作します:</p> <ul> <li>目的地から離れようとするナビゲーションのカウンターをインクリメントします。ページ</li> <li>カウンターが増加した場合、タイマーを使用してページを攻撃者のサーバーにリダイレクトします</li> <li>204 HTTP ステータス コードを取得し、それ以上のナビゲーションを阻止します</li> </ul> <p><strong>では、フレームバスティングを克服するにはどうすればよいですかBuster?</strong></p> <p>効果的なアプローチの 1 つは、最新のブラウザでサポートされている X-Frame-Options:deny ディレクティブを使用することです。このディレクティブは、スクリプトが無効になっている場合でもフレーム化を防ぎます:</p> <div class="code" style="position:relative; padding:0px; margin:0px;"><pre>X-Frame-Options: deny</pre><div class="contentsignin">ログイン後にコピー</div></div> <p><strong>ブラウザ サポート:</strong></p> <ul> <li> <strong>IE8:</strong> https://blogs.msdn.com/ie/archive/2009/01/27/ie8-security-part-vii-clickjacking-defenses.aspx</li> <li> <p><strong>Firefox (3.6.9):</strong></p> <ul> <li>https://bugzilla.mozilla.org/show_bug.cgi?id=475530</li> <li>htt ps://developer.mozilla.org/en/The_X-FRAME-OPTIONS_response_header</li> </ul> </li> <li> <p><strong>Chrome/ウェブキット:</strong></p> <ul> <li>http://blog.chromium.org/2010/01/security-in- Depth-n ew-security-features.html</li> <li>http://trac.webkit.org/changeset/42333</li> </ul> </li> </ul>
