কোনওভাবে, Google+ প্লাস-ওয়ান উইজেটের উপর ঘুরে বেড়ানো কোনও টুলটিপ-টাইপ চুক্তিটি প্রবর্তন করতে পারে <iframe>যা এতে থাকা উপাদানটির থেকে পরিষ্কারভাবে বড় is আমি এটি নিশ্চিত করতে ডিওএম পরিদর্শন করেছি *
তাই:
কি? কিভাবে !?
যদি এটি দূষিতভাবে ব্যবহার করা হয়, তবে কি ক্লিকজ্যাকিংয়ের জন্য এটি একটি বৃহত সুযোগ নয়? (কল্পনা করুন যে কেউ এই সামাজিক উইজেটের জন্য একটি এমআইটিএম করছেন!)
* আপডেট: আমি যা দেখেছি তা হ'ল টুলটিপ -১ বার্তাটি একটি সেকেন্ডে ছিল, গতিশীলভাবে তৈরি হয়েছিল iframe।
উত্তর:
গুগল +1 উইজেটটি জাভাস্ক্রিপ্ট যা আপনার ওয়েবসাইটে তৈরি হয় iframe। এই জাভাস্ক্রিপ্ট উইজেটটি আপনার ওয়েবসাইটের প্রেক্ষাপটে চলছে এবং তাই আইফ্রেমের জন্য মূল উত্তরাধিকার বিধি দ্বারা সীমাবদ্ধ নয় । অতএব এই জাভাস্ক্রিপ্ট উইজেটটি প্যারেন্ট সাইটে যা কিছু ডিওএম ইভেন্টগুলি চাইবে সেট করতে পারে যদিও এটি কেবল একটি সাধারণ হিসাবে দেখা যায় iframe।
আরেকটি বিষয়, গুগল কেন ব্যবহার করছে iframe? কেন কেবল divপৃষ্ঠায় একটি উত্পন্ন করবেন না ? ঠিক আছে কারণ লিঙ্কটি উত্স থেকে এসেছে iframe, একটি সিএসআরএফ (ক্রস-সাইট অনুরোধ ফোরজি) টোকেনটি অনুরোধটিতে এম্বেড করা যেতে পারে এবং প্যারেন্ট সাইটটি এই টোকেনটি পড়তে এবং অনুরোধটি জাল করতে পারে না। সুতরাং এটি iframeহ'ল একটি বিরোধী সিএসআরএফ পরিমাপ যা দূষিত পিতামাতার হাত থেকে নিজেকে রক্ষার জন্য অরিজিন উত্তরাধিকার বিধির উপর নির্ভর করে।
আক্রমণ আক্রমণের দিক থেকে এটি ইউআই-রেড্রেসের চেয়ে এক্সএসএস (ক্রস-সাইট স্ক্রিপ্টিং) এর মতো। আপনি গুগলকে আপনার ওয়েবসাইটে অ্যাক্সেস দিচ্ছেন এবং তারা আপনার ব্যবহারকারীর কুকি হাইজ্যাক করতে পারে বা XmlHttpRequestsতারা যদি বেছে নেয় তবে আপনার ওয়েবসাইটের বিরুদ্ধে পারফর্ম করতে পারে (তবে লোকেরা তাদেরকে দূষিত ও ধনী বলে মামলা করবে)।
এই পরিস্থিতিতে আপনি গুগলের উপর বিশ্বাস রাখতে পারেন, কিন্তু গুগল আপনাকে বিশ্বাস করে না।
এই ওয়েব-বাগগুলির গোপনীয়তা প্রভাব প্রশমিত করার উপায় রয়েছে ।
গুগল "ফাঁস স্ট্যান্ডার্ড ডিআইভি" রোধ করতে আইফ্রেম ব্যবহার করে। তাদের ক্লোজার লাইব্রেরি ডায়লগ একই কাজ করে। এটি সম্ভবত ঠিক যাতে অন্য সামগ্রীগুলি +1 বোতামে রক্তপাত করতে না পারে। http://closure-library.googlecode.com/svn/trunk/closure/goog/demos/dialog.html ।
<iframe>, যা আপনি প্রস্তাব করেছেন এটি সত্য হতে পারে (এবং এটি কীভাবে সম্ভব তা ব্যাখ্যা করুন)। তবে এটি দেখে মনে হয় না যে এটি ডিওএম পরিদর্শন করা থেকে শুরু করে। এবং এটি আমার নাম এবং জিমেইল ঠিকানাটি দূষিত পিতামাতাদের কাছে প্রকাশ করবে (যদি না এক সেকেন্ডে আবৃত থাকেiframe)!