求助 - 网站被恶意 iFrame, 怎么破? (弹股论斤 - 当股票遇上弹幕)

[hr6r]

我的网站最近访问比较人多, 先感谢大家的支持.

我的网站是 http://tangu.nextbang.com, 被很多人盯上了, 这两天发现这个网站 http://www.izizhucan.com/tangulunjin.html 恶意iframe, 现在不知道怎么破了, 我运维经验不多, 求大家帮助.

1, 昨天在js 里面加上了 if (window !== top) { 判断. OK了.

2, 今天发现他又加强了, 整个下载了我的前端代码, 把上面的判断去掉了. 我去...

麻烦大家帮帮忙, 这种情况怎么破?? 其他的重js webapp 是怎么应付这种问题的?

[Qapla]

403

[TakanashiAzusa]

@lk09364 我又试了下，你说的是对的。默认不返回 Access-Control-Allow-Origin Header的话就是不允许跨域，但是可以跨域的域名服务器文件头会返回一个 Access-Control-Allow-Origin Header，然后浏览器做判断。

[wheatcuican]

一直载入中。。。

[sciooga]

那个网站挂出了楼主的链接，然后因为 referer 的问题...直接点击跳转就403了，楼主是不是考虑吸收掉他偷来的用户...

[Perry]

@sciooga 那个时楼主自己之前挂的，然后模仿者抄的时候顺便抄进去了，不过这个建议倒是真的可以

[chairuosen]

我从V2点过去都是403的，应该数据接口加referer判断 首页html不加

[sciooga]

@Perry 域名不对接口返回的弹幕全部是广告或者源站链接更漂亮...

[des]

估计对方下一步就是进行代理了……

[Perry]

有个问题 到底是 danmu 还是 tanmu。。

[shiniv]

@Perry danmu

[momou]

楼主上知乎日报了…

[limtao]

刚来这没几天 居然发现你了！而且首页发现你的po居然还被顶上了...哈哈哈哈
等过段时间大家不忙的时候出来聊聊。
上个月在IBM刚刚做完一个银行的渗透性项目，你提到的iframe攻击在术语上叫做clickjacking,
解决方案google一下特别多。我当时用的 X-Frame-Options设置成deny或者same-origin。
你这个案例我发现个人开发者的时代要来临了。加油！
我这有不少ios的项目可能要转包，到时候聊聊。哈哈哈哈哈哈哈

[yylzcom]

“网站持续被空军攻击, 请大家收藏备用网址:
http://tangu2.nextbang.com”

不要脸的还真多，楼主，人家说你是做空力量，把你网址说成备用网址
你直接在页面上发一声明打他脸吧，我都看不下去了
另外又深刻地认识到“空军论”“阴谋论”受众的智商

[nikubenki]

玩儿蛋，目测以后弹幕网站会有越来越多人管这叫“檀木”了。

[imlz]

楼主，我这里建了一个玩玩，只作学习交流，我做攻（表想歪），你想想防，私下讨论可以根据我域名各种找到我联系方式
http://stock.ilz.me/
只作学习交流

[imlz]

静态文件完全可以本地，我就借用一下你的站点，主要是数据飘的保护。测试请阅读完alert框后点“取消”

[simodorg]

@imlz 部分乱码了，编码好像有些错误。

[imlz]

@simodorg 应该是未强制设置utf8，麻烦测试时手动改一下把

[hr6r]

@imlz 求老司机带路, 我已筋疲力尽.

[jugelizi]

post才限制下来源吧