防止 iframe 安全问题

从报价中不清楚，但听起来他们在谈论消费者端点妥协。用户拿起了银行家特洛伊木马，因此他们的PC已成为不受信任的设备，可以显示误导性信息。在这种情况下，特洛伊木马运营商更改了显示的目标帐号，以便资金流向与用户认为他们贷记的一方不同的一方。

关键是用于做出安全决策的完整用户界面必须驻留在受信任的设备上。从PC到安全设备键入信息使用户有机会检查信息是否正确，就像在屏幕上显示正在授权的信息的设备一样。

但有一个缺失的部分，即消费者通常不知道他们输入的帐号是否真的是他们想要贷记的一方的帐号。除非他们之前与该方进行过许多交易，以便他们可以记住帐号并在错误时发现它(即使这样也不一定会引发标志(。

要纠正这一点，账户 ID 必须是可识别的东西，比如一个受控制的域名，而不是一个任意的数字。但是，对于您必须键入信息的任何独立设备，这都会带来问题，因为它需要全尺寸键盘。你可以使用仅显示的设备来做到这一点，比如德国的TAN生成器，它可以从屏幕上读取信息，或者你可以用一个很长的帐号来做到这一点，该帐号解码为可读的东西，并签名以防止未经授权的更改。

一旦整个决策发生在安全设备上，包括转账金额和用户可验证的目的地，不受信任的中介(您的 PC 作为中间人(的问题就解决了，交易是安全的。

尽管该信息不包括交易目的，但您仍然可以想象一次攻击，其中经销商更改了您在特定商店购买的实际商品，而不会更改成本！

这是XSS(跨站点脚本(攻击的示例。

例如，Friendster，它之前有很多XSS"漏洞"，特别是在个人资料页面中。我可以在我的个人资料页面中注入脚本，并使我的页面看起来像登录页面。

一旦另一个用户查看我的个人资料，它看起来像一个Friendster登录页面！然后用户输入他的用户名和密码，不知道这是一个欺诈页面。输入的值将被路由到 my 服务器进行存储，而用户将被重定向到实际页面。

实际上，用户从未注销。用户被迫相信这是一个合法的页面，并被迫透露帐户详细信息。

为了防止这种情况，您不应允许任意 HTML 和脚本通过您的网站。攻击有很多入口点，通常是没有经过彻底验证的输入框。如果页面上存在注入的脚本，则事件 SSL 站点不安全。