替換/操作 url 中的“主機名”而不重定向到它

Question

有什么方法可以替換 url 中的主機名，但我不希望瀏覽器加載/重定向/打開替換后的主機名，它應該只是在地址欄中顯示它與它無關。

設想：

我正在測試一個網站（合法），我發現它只是檢查 URL 中的top.location.hostname ，如果它等於self.location.hostname那么它的行為正常，否則它會拋出警報，這就是我猜測的原因如果我可以替換地址欄中的主機名，則可能存在點擊劫持

如果它可以通過 JS 完成，那就太棒了，我可以在 iframe 域命中它之前加載更改名稱的腳本

Answer 1

雙幀是針對幀破壞 JavaScript 的首批攻擊之一。 這對於所使用的確切代碼總是非常主觀的，但是您應該在此處檢查是否有任何相關攻擊。

https://owasp.org/www-pdf-archive//OWASP_AppSec_Research_2010_Busting_Frame_Busting_by_Rydstedt.pdf

如果這是一個專業的參與，無論您是否可以繞過框架破壞者，我都會提出這個問題。 X-Frame-Options是最強大的點擊劫持緩解措施，並且永遠不會依賴 JavaScript 來做到這一點。