18

Tenho em meu documento um iframe com o atributo sandbox.

Com javasript eu faço a leitura de um arquivo Markdown e faço o parse usando a biblioteca showdonwjs e adiciono esse resultado ao atributo srcdoc do iframe e o resultado é o esperado.

Contudo os arquivos vem de origem dos usuários e estarão visíveis a outros usuários por isso faço uso do atributo sandbox.

Quando no arquivo Markdown houver um script... a página aonde esta o iframe lança um erro no console do navegador (óbvio se o atributo impede a execução, quando há uma tentativa deve haver um erro).

Como posso (se é que posso) observar este erro em javascript? Saber se houve um erro?

Desde já grato.


update

page.html

<!DOCTYPE html>
<html lang="">
<head>
   <title>Teste</title>
</head>
<body id="body">
   <iframe id="frame" sandbox></iframe>

   <script type="text/javascript" src="https://code.jquery.com/jquery-3.1.1.min.js"></script>
   <script type="text/javascript" src="https://rawgit.com/showdownjs/showdown/develop/dist/showdown.min.js"></script>
   <script type="text/javascript">
       var md = '###Hello Word <script>alert("!")<\/script>';
       var converter = new showdown.Converter();
       var MDtoHTML = converter.makeHtml(md)
       var ifrm = $('#frame')
       ifrm.attr('srcdoc', MDtoHTML);
   </script>
</body>
</html>

jsFiddle Exeplo

Bom esse é o print do referido erro! Ele acontece então creio que minha dúvida tem minimamente sentido! Poderia (se for possível "observar") exibir um pop-up, banner ou mesmo registrar um log, identificar uploaders mal intencionados.

inserir a descrição da imagem aqui

14
  • Podes fazer um jsFiddle com um exemplo do que estás a fazer?
    – Sergio
    Commented 26/10/2016 às 13:36
  • Até tentei usa o Fiddle más não consegui. Vou atualizar a pergunta e coloar parte do code. Commented 26/10/2016 às 16:16
  • Adicionado exemplo no jsFiddle: jsfiddle.net/hgmzov4g Commented 26/10/2016 às 21:57
  • Relacionado: pt.stackoverflow.com/q/142711/3635
    – Syzoth
    Commented 26/10/2016 às 21:58
  • Eu não vi o que poderia estar relacionado. Na pergunta de exemplo o usuário quer executar javascript no iframe sandboxed o que é exatamente o que não quero. Commented 26/10/2016 às 22:08

3 Respostas 3

2

Não existe uma forma para que possamos acessar os valores do console e "observar" o warnings / errors emitidos pelas libs internas do javascript(v8, chakra, etc). Desconheço essa funcionalidade em qualquer engine na atual versão.

O que você poderia fazer para contornar o problema apresentado é usar outro modelo.

Por exemplo:

 var md = '###Hello Word <script>alert("!")<\/script>';
 var match = md.match(/<script\b[^<]*(?:(?!<\/script>)<[^<]*)*<\/script>/gi);

 if(match && match.length) {
    console.log('Aqui existe script, devemos emitir um erro para o código malicioso');
    return;
 }

 var converter = new showdown.Converter();
 var MDtoHTML = converter.makeHtml(md)
 var ifrm = $('#frame')
 ifrm.attr('srcdoc', MDtoHTML);

Segue o exemplo https://jsfiddle.net/hgmzov4g/7/

2
  • desculpe más não considero esta "técnica" útil para filtrar (o que não é o caso pois o caso é impedir) o uso de javascript visto que existe infinitas possibilidades de executar javascript no documento sem necessariamente declarar uma tag <script> exemplos owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet#IFRAME Commented 24/04/2017 às 18:30
  • ha, quanto ao meu comentário de que "possa ser um tratamento interno" não me referi a observar este tratamento (possivelmente interno) más sim de não encontrar referencia na documentação da especificação nem dos browsers Chromium (que também é base do Chrome) e Firefox que tem o fonte aberta. Commented 24/04/2017 às 18:37
-2

Você precisa colar um try onde o código causa error, e usar um catch para tratar o error.

Você pode conferir mais informações de como usar declarações try..catch no site Mozilla para desenvolvedores

1
  • 1
    Grato pela resposta más try\catch não captura este erro. Testado em Chrome, FireFox e Opera Commented 16/03/2017 às 18:57
-2

Se o try catch não funcionar, você pode tentar usar um regex na string antes de transformar o Markdown procurando pela tag script e retirar.

1
  • 2
    Grato pela resposta más try\catch não captura este erro. Testado em Chrome, FireFox e Opera Commented 16/03/2017 às 18:57

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .