¿Hay alguna manera en la que pueda reemplazar el nombre de host en la URL pero no quiero que el navegador cargue/redireccione/abra el nombre de host reemplazado, debería mostrarlo arriba en la barra de direcciones, nada que ver con eso?
Guión:
Estoy probando un sitio web (legalmente) donde descubrí que solo está verificando top.location.hostname de host en la URL y si es igual a self.location.hostname de host, entonces se comporta normalmente, de lo contrario, arroja la alerta, por lo que supongo podría haber una posibilidad de secuestro de clics si puedo reemplazar el nombre de host en la barra de direcciones
Si se puede hacer a través de JS, entonces es increíble, puedo cargar mi secuencia de comandos para cambiar el nombre antes de que el dominio iframe lo golpee.
El doble encuadre fue uno de los primeros ataques contra JavaScript que destruye marcos. Esto siempre es muy subjetivo al código exacto utilizado, pero debe verificar aquí si algún ataque es relevante.
https://owasp.org/www-pdf-archive//OWASP_AppSec_Research_2010_Busting_Frame_Busting_by_Rydstedt.pdf
Si se trata de un compromiso profesional, plantearía el problema independientemente de si puede o no producir una omisión del marco-buster. X-Frame-Options es la mitigación más fuerte de Clickjacking y nunca confiaría en JavaScript para hacerlo.