Iframe-Sandbox umgehen?

Jemand hat meine Website mit einem iFrame erstellt

<iframe src="http://example.org" sandbox=""></iframe> 

Auf diese Weise verhindert das Sandbox-Attribut, dass meine Website den Iframe-Blocker verwendet. Und es kann leicht mit einem Iframe versehen werden.

Framebuster auf meiner Website:

if (window.top !== window.self) window.top.location.replace(window.self.location.href);

Gibt es einen programmatischen Weg umzuleiten zu meiner Website, wenn es mit Sandbox-Attribut verwendet wird, wenn es iframe ist?

Iframe kann durch die geschützt werden X-Frame-Options Antwortheader, setzen Sie entweder X-Frame-Options value="DENY" oder X-Frame-Options value="SAMEORIGIN". Durch diese Response-Header-Einstellungen können Sie Ihre Website vor IFrames- oder Clickjack-Angriffen schützen.

Einmal X-Frame-Options Response-Header gesetzt ist, erhält der Browser eine Standardmeldung wie “Dieser Inhalt kann nicht in einem Frame angezeigt werden”.

Das Sandbox-Attribut schaltet unter anderem jegliches Javascript ab. Aus diesem Grund wird Ihr Framebuster nicht funktionieren, noch andere Javascript-Leute, die bereitgestellt wurden.

W3 Sprich von einer Sandbox:

• Skripte sind innerhalb des Iframes nicht erlaubt/deaktiviert
• Links zu anderen Browsing-Kontexten sind innerhalb des Iframes nicht erlaubt/deaktiviert

Ein Test zeigt, dass das Attribut auch Meta-Redirects und jeden Standard-Link, der aus dem Iframe ausbricht, deaktiviert.

Bei dieser Strenge würde es mich sehr wundern, wenn eine Weiterleitung möglich ist, da dies den Sinn der Sandbox zunichte machen würde.

Das Beste, was ich vorschlagen kann, wäre die Verwendung des noscript-Tags, um Benutzern, die die Seite in einem Sandbox-Iframe sehen, eine Nachricht anzuzeigen. Sie könnten das so gestalten, dass die Leute Ihre Inhalte nicht sehen können.

(Wenn nur eine Seite ein Problem darstellt, wäre das Blockieren mit htaccess wahrscheinlich ein besserer Ansatz.)

Ich denke, das Beste, was Sie tun können, ist, Ihre eigene Botschaft mit a zu zeigen target="top" Verknüpfung. Das gesamte Konzept des Sandbox-Attributs besteht darin, Weiterleitungen zu verbieten. Es gibt keine Möglichkeit, dies zu umgehen, und wenn Sie jemals einen Browser finden, werden die Hersteller wahrscheinlich einen Weg finden, ihn zu stoppen. Es ist eindeutig ihre Absicht.

So funktioniert das Web. Sie können nicht machen, was Sie wollen, wenn es um Browser geht.

@SudiptaKumarMaitis Antwort von X-Frame-Options funktioniert, wird aber durch die Content Security Policy (CSP) Level 2 abgelöst – insbesondere durch die frame-ancestors Richtlinie.

Um das Framing vollständig zu verbieten (ähnlich wie X-Frame-Options: DENY), verwenden Sie diesen HTTP-Header:

Content-Security-Policy: frame-ancestors 'none';