帧 onkeydown 反馈

Question

我正在尝试为跨框架脚本攻击 (https://www.owasp.org/index.php/Cross_Frame_Scripting) 做一个 PoC，以在我的工作中展示这种攻击对于任何版本的 IE 浏览器来说有多危险。 通过在 IE8 或更新版本上使用 X-FRAME-OPTIONS: deny 标头可以轻松防止这种攻击。但是，如果每个开发都在所有 Web 服务器响应中包含这样的标头，那就太好了。 使用下面的代码，我可以看到带有键码的警报窗口，但如果是目标页面上的表单，我看不到表单内按下的键的字母。

<script>
        window.onkeydown = function() {
                alert(window.event.keyCode);
        }
</script>
<frameset onload="this.focus()" onblur="this.focus()">
        <frame src="http://www.uol.com.br">
</frameset>

使用下面的简单代码，我可以按下键并同时查看（警报窗口和表单内的字母）。

<script>
        window.onkeydown = function() {
                alert(window.event.keyCode);
        }
</script>
<input>

第一个代码块有什么遗漏吗？ 谢谢！

Answer 1

您的代码可能没有任何问题。 Cross Frame Scripting 不是一个真正的漏洞 - 它只是旧版本 Internet Explorer 中的一个漏洞，其中包含在父框架内触发 onkeypress 事件的错误，尽管域与通常受保护的域不匹配Same Origin Policy.

其他跨帧脚本攻击只是 Cross Site Scripting 攻击，名称不同，因为它们涉及帧。