检测到iFrame时如何重定向到另一个页面？

Question

这是测试页。 我有一个包含iFrame的页面，该页面包含我网站上的另一个HTML页面。

<html> 
    <head> 
        <title>Clickjack test page</title> 
    </head> 
    <body> 
        <p>Website is not vulnerable to clickjacking.</p> 
        <iframe src="../page1" width="500" height="500" id="iframe"></iframe>
    </body> 
</html>

这是我在page1.html上的脚本

<script type="text/javascript">
    console.log(window.location != window.parent.location);

    if(window.location != window.parent.location){
       console.log("iFrame Detected");
       window.location.replace("redirectMessage.html");
       window.location.href = "redirectMessage.html";
       console.log("after redirect");
    }

    else {
        // no iframe
    }
</script> 

目标：当我转到ClickJack测试页时，检测一个iframe并将该iFrame中的页面重定向到redirectMessage.html

我在控制台中after redirect iFrame Detected

因此，我知道我的IF语句已到达。
但是iFrame中的页面不会重定向。

Answer 1

您不应该尝试弄清楚页面是否正在iframe中加载，因为攻击者可能只是使用iframe上的sandbox属性，而这会使脚本停止运行，从而使您的（登录）页面容易受到点击劫持。

相反，您的网站后端应返回X-FRAME-OPTIONS设置为DENY，以阻止浏览器在iframe中呈现您的网站。

有关更多详细信息，请参见此处： https : //steemit.com/security/@gaottantacinque/steemit-security-check-iframe-tricks