Hi mates, dạo này cũng khá bận rộn. Nhưng nay chợt nhớ ra 1 vấn đề khá là hay và nghiêm trọng. Nên cũng muốn chia sẻ ngắn để mọi người phòng tránh.


 


Vấn đề


Hiện nay về việc chèn quảng cáo vô trang web của mình để kiếm thêm thu nhập từ lượt traffic là rất phổ biến, hầu như trang web nào cũng có. Vì thế nó mới phát sinh ra một vài vấn đề liên quan đến bảo mật.


Giả sử bạn có 1 trang web, bạn muốn chèn quảng cáo của đối tác vào web của mình. Mà đối tác cung cấp cho bạn 1 đoạn javascript (bây giờ javascript trong đoạn code quảng cáo rất rất nhiều). Sẽ xảy ra 2 trường hợp chính.


 


Bạn "ngây thơ": Chèn trực tiếp javascript vào website => bên kia chèn mã độc vào javascript => khả năng bị hack rất rất cao.


Bạn "cáo" hơn 1 tí: Chèn trực tiếp javascript vào 1 server độc lập chỉ chứa quảng cáo sau đó iframe vào web chính. => Có vẻ khả quan hơn rất nhiều.


Tuy nhiên việc chèn iframe vô cũng đã ngăn chặn được tương đối nhiều, nhưng ít ai để ý đến việc sanbox cái iframe lại. Nếu không sanbox, bên kia chỉ cần chèn 1 đoạn js như sau:


window.parent.location = "http://target"

Là người xem trang web dễ dàng bị redirect qua các trang web fishing, ảnh hưởng không nhỏ.


 


Giải quyết:


Sanbox cái iframe lại, đọc thêm ở đây: http://www.w3schools.com/tags/att_iframe_sandbox.asp


Tuy nhiên vẫn còn 1 thủ thuật khác là tabnabbing: https://sites.google.com/site/bughunteruniversity/nonvuln/phishing-with-window-opener