Можно ли загрузить в iframe страницу и прочитать её JS'ом, чтобы получить секретные данные, доступные только пользователю?

Question

[PO6OT]

Есть идея:
Пользователь открывает страницу X;
На странице X скрытый фрейм загружает страницу Y от имени пользователя (то есть куки отправляются пользовательские);
Скрипт на странице X читает содержимое фрейма (страницу Y), парсит его, выделяет нужную информацию;
Дальнейшие действия с информацией производятся на усмотрение создателя страницы X.

Так вопрос - можно ли сделать такую страницу X, и если да, то почему создатели браузеров не предусмотрели это в политике безопасности?
И на размышление - подумайте, для чего это может пригодиться :)

Comments

[sanex3339]

Данные ВК что ли стащить? Если да - это делается иначе.

[PO6OT]

sanex3339: не ВК. Пароль от Gmail стащить через фишинговое письмо. А чтоб было достовернее, мне нужно в письме настоящее имя получателя написать

[PO6OT]

sanex3339: Вот я и хочу получить Имя через фрейм

Answer 1

[Evgeny Vyushin]

То о чём вы пишете мир уже прошёл.. Следующим этапом был clickjacking. Этот вид атаки позволяЛ выполнять различные действия от имени пользователя.

Например, известны случаи, когда прозрачный iframe накладывался поверх какой-нибудь кнопки на сайте при нажатии на которую пользователь в действительности кликал не на неё, а на контент во фрейме, за счёт чего выполнялись непреднамеренные действия от имени пользователя.

В настоящий момент данный вид атаки считается устаревшим.
На всех популярных сайтах, включая VK, Facebook и т. д., вы можете встретить HTTP заголовок X-Frame-Options со значениями DENY (запрещает открытие во фрейме) или SAMEORIGIN (разрешает открытие во фрейме только в своём домене).
Собственно, на этом вся история и заканчивается, а идеи хакеров по поводу clickjacking уже не актульны.

Comments

[PO6OT]

DENY*

[PO6OT]

Я знаю про заголовки
Кстати, была и идея наложения
Вообщем, я это делаю ради баловства

[Evgeny Vyushin]

Вадим Егоров: опечатка

[Evgeny Vyushin]

Вадим Егоров: понятно, что ради баловства
Кстати, защиту-то придумали, но если посмотреть, то 80% сайтов не использует её.
Да и не все веб-мастера знают что такое вообще бывает. :)
Даже на Тостере нет заголовка X-Frame-Options и он подвержен атаке clickjacking...

[PO6OT]

Evgeny Vyushin: мне gmail ломать. там есть. он не суётся в фрейм никак...

Answer 2

[Walt Disney]

Так вопрос - можно ли сделать такую страницу X, и если да, то почему создатели браузеров не предусмотрели это в политике безопасности?

Да, но тут дело в том, что они это предусмотрели.

Answer 3

[xmoonlight]

Если скрипт с того же домена, то прочитать получится. Иначе - нет.

И на размышление - подумайте, для чего это может пригодиться :)

Попасть под фильтр подозрительных сайтов?

Answer 4

[sim3x]

Нет