Обнаружить, если моя страница является местом для перетаскивания мышью

Question

Есть ли возможность определить, загружена ли моя страница с страницы кликов?

Я имею в виду, не имеет значения, является ли страница созданием clickjacking (я установил заголовок X-FRAME-OPTIONS), дело в том, что на странице с щелчками мыши просматривается моя страница.

Первое, что я нашел, это управлять HTTP-REFERER, но это тяжелая работа, потому что я не могу контролировать весь свой трафик.

Извините за мой английский.

Answer 1

Если вы не собираетесь на внешние сайты, чтобы иметь возможность POST вашему, если у вас есть запрос POST, происходящий от другого сервера, это, вероятно, кликджекинг:

if($_SERVER['REQUEST_METHOD'] == 'POST' && !strstr($_SERVER['HTTP_REFERER'], 'mydomain.com') { 
     //probably clickjacking 
} 

Если у вас есть страницы, которые используют GET, которые являются чувствительный к clickjacking, вы можете либо добавить проверку HTTP_REFERER для каждой страницы, либо изменить страницу для использования POST (что обычно лучше всего подходит для чего-то, что делает обновление).

Answer 2

Один из ваших вариантов, чтобы установить заголовок сайта: «X-Frames-Options», чтобы «SAMEORIGIN»

Это должно предотвратить ваш сайт от загрузки в фреймы и фреймы, если страница происходящая не в домене , Обратите внимание, что это будет работать только для определенных браузеров, например, я не думаю, что это будет работать с IE7 и ниже, и я не думаю, что это работает с хром. Это, по крайней мере, уменьшит вашу поверхность атаки немного.

Apache:

Заголовок всегда добавлять X-Frame-Options SAMEORIGIN

MDN - The X-Frame-Options response header

EDIT: Теперь я лучше понимаю ...

Может быть, вы может использовать код, похожий на этот:

if (window.top !== window.self) { 
 
     // do something here 
 
    }

Это один способ обнаружения, если страница загружается в фрейм. Вы можете установить здесь cookie, вызвать WebService здесь или использовать window.location.href для навигации.

Вот пример «кадр перебора» защита для кликджекинга: Clickjacking Defense

-KB