我正在研究工作项目的同源政策
看来同源政策是很强的政策，不能破？
我已经测试了 iframes、CSS history url hack 作为可能的方法来破坏它。
我想知道是否有任何关于我可以执行的可能测试的想法，无论它们是否适用于测试相同的原产地政策。是否有关于如何在虚拟 netkit 环境中进行 DNS 重新绑定的简单教程？
谢谢
问问题
128 次
1 回答
0
首先，您应该了解同源策略 (SOP) 的含义，浏览器安全手册是一个很好的资源。
话虽如此，网站有很多方法可以撤销 SOP 给予他们的保护。XSS 就是一个很好的例子，因为它可以用来访问另一个域上的数据，一个很好的例子就是samy worm。
SOP 无法阻止跨站点请求伪造攻击。这个想法是您可以发送请求，但您无法读取响应。在这种攻击中，请求会引起副作用，例如更改用户密码。
Clickjacking 是另一个缺陷示例，其中事件（鼠标移动事件、单击事件、击键事件）被传递到另一个域并可能导致问题。
然后人们故意绕过 SOP，CORS 和 JSONP 就是一个很好的例子。还有flash的crossdomain.xml文件。
最后但并非最不重要的一点是， SOP 绕过漏洞在浏览器中非常普遍。.
于 2012-04-10T17:52:03.947 回答