Stop Clickjack

Mă uitam pe owasp.org, să văd cum pot dezactiva accesul la site-ul meu prin iframe. Văd că acolo exsită o variantă care ar fi cea mai bună. Adică folosind javascript.

Codul este:

<style id="antiClickjack">body{display:none !important;}</style>
<script type="text/javascript">
if (self === top) {
	 var antiClickjack = document.getElementById("antiClickjack");
	 antiClickjack.parentNode.removeChild(antiClickjack);
} else {
	 top.location = self.location;
}
</script>

Am zis, totuşi, să arunc şi pe facebook un ochi, să văd ei cam ce folosesc. Şi am găsit codul următor:

<script type="text/javascript">
(function(){
function si_cj(m)
{
setTimeout(function(){
new Image().src = "https://error.facebook.com/common/scribe_endpoint.php?c=si_clickjacking&t=5294"+"&m="+m;
},5000);
}
if(top!=self && !false)
{
try{
if(parent!=top)
{
throw 1;
}
var si_cj_d = ["apps.facebook.com","apps.beta.facebook.com"];
var href = top.location.href.toLowerCase();
for(var i=0;i<si_cj_d.length;i++)
{
if (href.indexOf(si_cj_d[i])>=0)
{
	 throw 1;
}
}
si_cj("3 ");
}
catch(e){
si_cj("1 \t");
window.document.write("\u003Cstyle>body * {display:none !important;}\u003C\/style>\u003Ca href=\"#\" onclick=\"top.location.href=window.location.href\" style=\"display:block !important;padding:10px\">Deschide Facebook.com\u003C\/a>");
/*UvytCxtC*/
}
}
}())
</script>

La fiecare refresh, numărul din $_GET['t'] (5294) se modifică. La fel şi pentru acel comentariu de la sfârşitul codului (/*UvytCxtC*/).

Îmi poate explica cineva ce se întâmplă de fapt în script şi de ce se schimbă acele 2 "lucruri" ?

Mă gândesc că poate facebook foloseşte ceva mai interesant decât ce-mi dă owasp.

Edited by sanduf, 03 August 2016 - 05:43.

Probabil este un unique id pentru tracking.