Résumé
Le reniflage de cadres est une technique d’attaque qui tire parti des fonctionnalités du navigateur pour voler les données d’un site web. Les applications web qui permettent à leur contenu d’être hébergé dans un IFRAME inter-domaines peuvent être vulnérables à cette attaque.
Les administrateurs peuvent atténuer le framesniffing en configurant IIS pour envoyer un en-tête de réponse HTTP qui empêche l’hébergement du contenu dans un IFRAME inter-domaines.
Informations complémentaires
L’en-tête X-Frame-Options peut être utilisé pour contrôler si une page peut être placée dans un IFRAME. Étant donné que la technique Framesniffing repose sur la possibilité de placer le site victime dans un IFRAME, une application Web peut se protéger en envoyant un en-tête X-Frame-Options approprié.
Pour configurer IIS afin d’ajouter un en-tête X-Frame-Options à toutes les réponses pour un site donné, procédez comme suit :
- Ouvrez le Gestionnaire des services IIS.
- Dans le volet Connexions à gauche, développez le dossier Sites et sélectionnez le site à protéger.
- Double-cliquez sur l’icône En-têtes de réponse HTTP dans la liste des fonctionnalités au milieu.
- Dans le volet Actions à droite, cliquez sur Ajouter.
- Dans la boîte de dialogue qui s’affiche, tapez X-Frame-Options dans le champ Nom et SAMEORIGIN dans le champ Valeur.
- Cliquez sur OK pour enregistrer vos modifications.
Si d’autres sites ont besoin de cette configuration, répétez les étapes 2 à 6 pour ces sites également.
Cette modification empêchera les pages HTML d’autres domaines d’héberger votre site dans un IFRAME. Par exemple, si le service informatique de Contoso applique cette modification à http://contoso.com, les pages de http://fabrikam.com ne pourront plus afficher le contenu de http://contoso.com dans un IFRAME.
Vous pouvez modifier la valeur de l’en-tête X-Frame-Options pour permettre aux http://fabrikam.com d’encadrer http://contoso.com tout en bloquant tous les autres domaines. Pour ce faire, remplacez la valeur de l’en-tête X-Frame-Options à l’étape 5 par ALLOW-FROM http://fabrikam.com.
Pour plus d’informations sur l’en-tête X-Frame-Options, consultez ce billet de blog MSDN.
Pour annuler la modification, procédez comme suit :
- Ouvrez le Gestionnaire des services IIS.
- Dans le volet Connexions à gauche, développez le dossier Sites, puis sélectionnez le site sur lequel vous avez apporté cette modification.
- Dans la liste des fonctionnalités au milieu, double-cliquez sur l’icône En-têtes de réponse HTTP.
- Dans la liste des en-têtes qui s’affiche, sélectionnez X-Frame-Options.
- Cliquez sur Supprimer dans le volet Actions sur le côté droit.