通过iframe src进行的xss攻击

Question

我允许用户嵌入YouTube或任何其他视频源，只要求他们提交他们收到的嵌入代码的src即可。然后我将它保存到数据库中并通过iframe加载它。但是，f有一个来源，例如，src="http://innocent.com/hackingContent.php"，那么我的网站对xss攻击是否有帮助？

我估计用户可能有一个src的恶意脚本，只要iframe将源代码嵌入到我自己的html中，它就会加载。

编辑如果src包含<script type="text/javascript" src="evilScript.js"></script>怎么办？虽然我am使用preg_match只是为了确保它只有一个url。

Answer 1

是的，你很脆弱。什么阻止了不良用户链接到色情片？或者是一个看起来合法并收获用户名和密码的网站。

为什么不建立一个你会接受的视频源白名单...验证提交的网址是在这些域上，并验证网址存在。

这样，人们无法将完全随机的网址插入到您的内容中。

“白名单”是您将接受的值列表。例如，您的服务器上，当用户提交一个网址，你会接受来自

http://www.youtube.com ....

正确的东西吗？因此，您可以列出您将接受的所有网址，然后确保用户的输入与列表中的某个项目匹配。如果它不拒绝它。 （根据我们的意思是'开始'或类似的意思 - 显然不完全匹配）

“黑名单”会相反。你会有一个列表，但它的列表将不允许。

白名单== 的事情，你让
黑名单== 的事情列表，你不允许

Answer 2

不，如果iframe src与调用所述iframe的域不同，您将受到XSS攻击保护。这是根据相同域起源策略。