翻译文章|玩游戏订阅我的youtube频道

原文：

星期天的早上，我在Youtube上听着歌，看着google的漏洞赏金项目。听歌的时候，我忽然注意到我从来没用过的分享功能。

这个分享功能有常见的“分享到Facebook”，“分享到twitter”等功能。我比较感兴趣的是嵌入功能。

嵌入功能允许用户把这个视频通过iframe嵌入到他们自己的网站里。

我决定把这个视频嵌入到我自己的网站上尝试一下。

但是当我把这个视频放到我网站上时，我发现，只需要鼠标悬停在视频界面上就可以订阅或者取消订阅这个频道。

那么很自然的，我就想到是否可以把这个视频链接嵌入到一个点击劫持的漏洞的地方，这样就可以刷订阅了。

然后我在我的编辑器里写了个小游戏，这是一个非常简单的游戏（虽然不是游戏），受害者必须将鼠标悬停在红色上方，并且必须遵循该路径并在其变为绿色时单击它。

视频链接：

译者按:

正常的订阅需要用户点一下，但是嵌入到网站里，就只需要悬停就可以订阅。那么我们很自然的就想到去调整iframe大小，进行点击劫持。但是这个作者没有找到一个合适的嵌入iframe的点。自己写了个小游戏来模拟攻击。如果能找到一个合适的嵌入iframe的点，一定可以扩大攻击危害。

本文迁移自知识星球“火线Zone”