Отказано от отображения, установите X-Frame-Options для SAMEORIGIN

Question

У меня очень старый сайт, созданный в ASP .Net 2008 командой, с которой у меня нет контакта. Внезапно страница не выглядит должным образом в Chrome и FireFox, но отлично работает с другими браузерами. Страница установлена ​​с помощью iFrame.

Глядя под Осмотрите элемент (хром) для страницы неисправной для визуализации я вижу ошибку

Refused to display 'http://www.example.com/somepage.html' in a frame because it set 'X-Frame-Options' to 'SAMEORIGIN, SAMEORIGIN'. 

Так прочитал несколько статей, и я не могу понять это в полной мере, но мне кажется, ошибка есть, запрошенный домен НЕ позволяет себе отображаться в кадре.

URL-адрес, указанный выше, не является URL-адресом, с которым я знаком (т. Е. Третьим лицом, у меня нет никакого контроля). В любом случае, разрешить это или это просто владелец домена должен будет разрешить? ЕСЛИ так почему это работает в других браузерах?

Answer 1

Есть в любом случае, чтобы решить эту

Не на вашем конце.

или это просто владелец домена должен будет разрешить?

Это

Если так, почему это работает в других браузерах?

Спекуляция немного здесь, но SAMEORIGIN, SAMEORIGIN - недопустимое значение. Похоже, Chrome пытается восстановить ошибки и обрабатывает его как SAMEORIGIN

Answer 2

Quentin answer подробно изложил его.

Кроме того, если это внешний сайт, находящийся вне вашего контроля, у них могут быть веские причины запретить кадрирование. (Подобно предупреждению click-jacking.)

Возможно, они также включили Content-Security-Policy:frame-ancestors 'self' header, который будет иметь такой же эффект.

(И в настоящее время, в Chromium (и хром) а bug вызывает X-Frame-Options взять верх над Content-Security-Policy, пока он не должен.)

Вы можете взломать, что, если их сайт обслуживается более http (не https) и вы управлять общим сетевым устройством, через которое должен идти весь ваш сетевой трафик пользователей на этот сайт. Я имею в виду, что на этом устройстве, если это позволит вам это сделать, вы можете отфильтровывать «нежелательные» заголовки от ответов этого сайта.

Конечно, это спорный взлом. В зависимости от условий использования сайта жертвы, это может быть даже юридическим вопросом.