客户端跨框架脚本攻击解决方案

Question

我们开发了一个新的应用程序,在移动更改之前,我们使用checkmarx进行了代码的静态扫描.在名为Client Cross Frame Scripting Attack的代码中可以找到中等级别的漏洞.

这在JSP页面的第一行被删除:

<!DOCTYPE html>

你能帮助我理解这次攻击吗？应该采取什么措施来消除这种攻击？

Answer 1

该客户端跨站脚本攻击查询发现,如果页面保护自己防止被嵌入一个IFrame.它搜索以下条件:

 if (top != self)
 if (top.location != location)
 if (top.frames.length != 0)

等等.

我相信这个特定的文件没有这样的条件,所以它最不能保护自己,这就是查询找到并标记它的原因.由于我们在这里寻找缺失的行,结果只显示文件,并且无法显示问题所在.

希望能帮助到你,

来自Checkmarx的 Adar .