Facebook не хватает X-Frame-Options — как я это исправил

подробности

http [s]: //www.facebook.com/plugins/serverfbml.php использовал только JavaScript для удаления фреймов и не использовалзаголовок X-Frame-Options . Можно было создатьатаку извлечения контента с восстановлением пользовательского интерфейса, чтобы заставить пользователя перетаскивать исходный HTML-код этой страницы на страницу злоумышленника. Это основывалось на способности Firefox отображать источник просмотра: страницы протокола в iframes И возможность выполнять действия перетаскивания из разных источников (таким образом, затрагивались только пользователи Firefox).

На указанной странице отображается  FBML,  указанный в параметре $ _GET . В этом случае <form> <fb: captcha> </ form>был использован в качестве примера полезной нагрузки FBML. В ответе сервера был объект Javascript Env с несколькими чувствительными пользовательскими значениями:

{
  user:100001652298988,
  locale:"en_US",
  method:"GET",
  start:(new Date()).getTime(),
  ps_limit:5,
  ps_ratio:4,
  svn_rev:441515,
  static_base:"https:\/\/s-static.ak.facebook.com\/",
  www_base:"http:\/\/www.facebook.com\/",
  rep_lag:2,
  post_form_id:"eecde0da0dc4bc800d385dde5dd37608",
  fb_dtsg:"AQAUh3Jx",
  lhsh:"0AQAQVvsl",
  error_uri:".....",
  retry_ajax_on_network_error:"1",
  ajaxpipe_enabled:"1",
  theater_ver:"2"
};

В приведенном выше источнике, кроме идентификатора пользователя (конфиденциальность!), Есть также два интересных значения: fb_dtsg и post_form_id . Эти значения сами по себе являются формой токена анти- CSRF, используемого в Facebook, и, зная их, злоумышленник может публиковать обновления статуса от имени вошедшего в систему пользователя. В Firefox можно было обмануть пользователя, чтобы выбрать и перетащить эти значения на контролируемую страницу злоумышленника. Таким образом, если какой-либо пользователь, прошедший проверку подлинности на Facebook, перешел по URL-адресу злоумышленника (например, по ссылке, которой поделился его друг) и сыграл в игру, злоумышленник получил доступ к HTML-источнику уязвимой страницы Facebook и получил идентификатор пользователя и токены CSRF. Имея это, он мог выполнять несколько запросов CSRF, используя тот факт, что браузер жертвы имел соответствующие куки FB.