تست Web Messaging

Web Messaging چیست؟

Web Messaging (postMessage) مکانیزمی است که به اسکریپت‌ها اجازه می‌دهد بین iframe‌ها و پنجره‌ها ارتباط برقرار کنند. این مکانیزم برای ارتباط cross-origin استفاده می‌شود.

آسیب‌پذیری‌های رایج

روش‌شناسی تست

مرحله ۱: شناسایی postMessage

استفاده از postMessage و addEventListener('message') را در کد شناسایی کنید.

مرحله ۲: بررسی origin

1// ارسال امن
2window.postMessage(data, 'https://trusted.com');
3
4// دریافت امن
5window.addEventListener('message', function(event) {
6    if (event.origin !== 'https://trusted.com') {
7        return;
8    }
9    // پردازش پیام
10});

مرحله ۳: تست سوءاستفاده

• ارسال پیام از origin نامعتبر
• بررسی آیا origin بررسی می‌شود
• تست wildcard targetOrigin

راه‌حل

• بررسی origin در دریافت پیام
• عدم استفاده از wildcard در targetOrigin
• اعتبارسنجی محتوای پیام
• استفاده از HTTPS