搜索

[14411] 2019-07-30_浅谈跨域威胁与安全

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-07-30_浅谈跨域威胁与安全 浅 谈 跨 域 威 胁 与 安 全 1 u 0 h u n   F r e e B u f   2 0 1 9 - 0 7 - 3 0 W E B 前 端 中 最 常 见 的 两 种 安 全 风 险 ， 前 端 中 最 常 见 的 两 种 安 全 风 险 ， X S S 与 与 C S R F ， ， X S S ， 即 跨 站 脚 本 攻 击 、 ， 即 跨 站 脚 本 攻 击 、 C S R F 即 跨 站 请 求 伪 造 即 跨 站 请 求 伪 造 , 两 者 属 于 跨 域 安 全 攻 击 ， 对 于 常 见 的 两 者 属 于 跨 域 安 全 攻 击 ， 对 于 常 见 的 X S S 以 及 以 及 C S R F 在 此 不 多 谈 论 ， 仅 谈 论 一 些 不 在 此 不 多 谈 论 ， 仅 谈 论 一 些 不 太 常 见 的 跨 域 技 术 以 及 安 全 威 胁 。 太 常 见 的 跨 域 技 术 以 及 安 全 威 胁 。 一 、 一 、   域 域 域 ， 即 域 名 对 应 的 网 站 。 不 同 的 域 名 对 应 的 不 同 的 网 站 ， 相 同 的 域 名 不 同 的 端 口 也 对 应 的 不 同 的 网 站 ， 因 此 ， 域 ， 从 字 面 意 思 以 及 实 质 意 思 都 为 空 间 ， 所 以 在 w e b 中 空 间 即 代 表 的 是 网 站 。 二 、 同 源 策 略 （ 二 、 同 源 策 略 （ S O P ） ） 2 . 1   同 源 策 略 定 义 同 源 策 略 定 义 同 源 策 略 限 制 了 从 同 一 个 源 加 载 的 文 档 或 脚 本 如 何 与 来 自 另 一 个 源 的 资 源 进 行 交 互 。 这 是 一 个 用 于 隔 离 潜 在 恶 意 文 件 的 重 要 安 全 机 制 。 同 源 策 略 必 须 要 同 时 满 足 以 下 三 个 条 件 ， 只 要 有 任 何 一 个 不 同 ， 都 被 当 作 是 不 同 的 域 ： 1 、 协 议 相 同 2 、 域 名 相 同 3 、 端 口 号 相 同 举 例 说 明 ： 协 议 协 议 域 名 域 名 端 口 端 口 是 否 同 源 是 否 同 源 原 因 原 因 h t t p w w w . a . c o m 8 0 h t t p w w w . b . c o m 8 0 否 域 名 不 同 h t t p s w w w . a . c o m 8 0 否 协 议 不 同 h t t p w w w . a . c o m 8 0 8 0 否 端 口 不 同 2 . 2   同 源 策 略 限 制 同 源 策 略 限 制 同 源 策 略 限 制 了 只 有 同 源 的 脚 本 才 会 被 执 行 ， 当 打 开 一 个 网 站 的 时 候 ， 会 首 先 检 查 是 否 同 源 ， 如 果 非 同 源 ， 在 请 求 数 据 的 时 候 ， 浏 览 器 就 会 进 行 拦 截 报 异 常 ， 拒 绝 访 问 。 三 、 跨 域 本 质 三 、 跨 域 本 质 跨 域 本 质 就 是 绕 过 同 源 策 略 的 严 格 限 制 ， 安 全 与 实 用 往 往 有 时 候 会 有 一 定 的 矛 盾 性 ， 开 发 人 员 更 注 重 的 是 功 能 的 开 发 使 用 ， 例 如 有 时 候 同 二 级 域 名 下 的 不 同 三 级 域 名 需 要 进 行 一 些 信 息 数 据 传 输 时 ， 共 享 一 些 资 源 时 ， 同 源 策 略 将 其 限 制 ， 但 是 又 要 实 现 该 功 能 ， 此 时 就 诞 生 了 一 些 跨 越 请 求 的 技 术 。 四 、 跨 域 技 术 四 、 跨 域 技 术 本 文 将 介 绍 较 大 范 围 的 跨 域 ， 即 从 一 个 域 到 另 一 个 域 都 将 其 归 为 跨 域 。 因 此 ， 将 其 归 结 为 两 种 情 况 ： 1 、 跨 域 请 求 2 、 跨 域 跳 转 五 、 跨 域 威 胁 五 、 跨 域 威 胁 5 . 1   J S O N P 跨 域 跨 域 5 . 1 . 1   j s o n p 跨 域 原 理 利 用 < s c r i p t > 标 签 没 有 跨 域 限 制 的 漏 洞 ， 网 页 可 以 从 其 他 来 源 域 动 态 获 取 j s o n 数 据 ， j s o n p 跨 域 请 求 一 定 需 要 对 方 的 服 务 器 支 持 才 可 以 。 5 . 1 . 2   j s o n p 实 现 流 程 1 、 服 务 端 必 须 支 持 j s o n p ， 且 拥 有 j s o n p 跨 域 接 口 （ 前 提 ） 2 、 浏 览 器 客 户 端 声 明 一 个 回 调 函 数 ， 其 函 数 名 作 为 参 数 值 ， 要 传 递 给 跨 域 请 求 数 据 的 服 务 器 ， 函 数 形 参 为 要 获 取 到 的 返 回 目 标 数 据 3 、 创 建 一 个 s c r i p t 标 签 ， 把 跨 域 的 A P I 数 据 接 口 加 载 到 s r c 属 性 ， 并 且 在 这 个 地 址 向 服 务 器 传 递 该 回 调 函 数 名 4 、 服 务 器 会 将 数 据 返 回 到 浏 览 器 客 户 端 ， 此 时 客 户 端 会 调 用 回 调 函 数 ， 对 返 回 的 数 据 进 行 处 理 5 . 1 . 3   j s o n p 代 码 实 战 1 、 T a l k   i s   c h e a p , S h o w   m e   c o d e 以 上 即 为 一 个 简 单 的 j s o n p 的 服 务 端 接 口 ， 假 设 该 接 口 是 一 个 获 取 用 户 的 个 人 信 息 的 接 口 ， 那 么 此 时 只 要 请 求 该 接 口 ， 每 个 用 户 就 获 取 到 自 己 该 有 的 个 人 信 息 ， 为 了 更 加 符 合 通 常 的 开 发 实 际 情 况 ， 一 般 用 户 获 取 个 人 信 息 流 程 ： 登 陆 - > 服 务 器 验 证 - > s e s s i o n - > 通 过 s e s s i o n 判 断 用 户 - > 个 人 信 息 2 、 J u s t   S h o w   C o d e （ 1 ） 登 陆 代 码 （ 2 ） 获 取 个 人 信 息 代 码 < ? p h p e r r o r _ r e p o r t i n g ( 0 ) ; $ c a l l b a c k   =   $ _ G E T [ ' c a l l b a c k ' ] ; e c h o   $ c a l l b a c k . " ( { ' i d ' : 1 , ' n a m e ' : ' m i s s f r e s h ' } ) " ? > < ? p h p e r r o r _ r e p o r t i n g ( 0 ) ; s e s s i o n _ s t a r t ( ) ; $ n a m e   =   $ _ G E T [ ' n a m e ' ] ; $ p w d   =   $ _ G E T [ ' p w d ' ] ; i f ( $ n a m e = = = ' a d m i n '   & &   $ p w d   = = =   ' a d m i n '   | |   $ n a m e = = = ' g u e s t '   & &   $ p w d   = = =   ' g u e s t ' ) { $ _ S E S S I O N [ ' n a m e '
3 、 代 码 效 果 演 示 未 登 录 前 ， 访 问 个 人 信 息 接 口 使 用 a d m i n 账 户 登 陆 后 ， 访 问 个 人 信 息 接 口 5 . 1 . 4   J S O N P 安 全 威 胁 J S O N P 威 胁 点 通 常 有 两 个 ： 1 、 对 于 输 入 的 c a l l b a c k 函 数 名 过 滤 不 严 格 ， 导 致 输 入 的 数 据 直 接 输 出 到 前 端 造 成 X S S 2 、 J S O N P 劫 持 漏 洞 ， 由 于 对 于 来 源 域 没 有 严 格 限 制 ， 因 此 来 源 于 不 安 全 的 域 的 请 求 也 会 被 响 应 1 、 、 X S S 反 射 性 X S S 漏 洞 很 简 单 ， 在 g e t 请 求 中 直 接 构 造 x s s   p a y l o a d 即 可 危 害 ： 可 以 获 取 到 用 户 的 c o o k i e 信 息 或 者 劫 持 用 户 跳 转 到 钓 鱼 网 站 2 、 J S O N P 劫 持 J S O N P 劫 持 ， 实 质 上 算 是 一 种 读 类 型 的 C S R F ， 在 恶 意 的 网 页 中 构 造 恶 意 的 J S 代 码 ， 当 合 法 用 户 点 击 该 网 页 ， 由 于 目 标 站 点 存 在 J S O N P 劫 持 漏 洞 的 接 口 ， 因 此 会 将 用 户 的 该 接 口 对 应 的 信 息 劫 持 ， 并 将 其 发 送 到 攻 击 者 的 服 务 器 。 （ 1 ） 以 示 例 代 码 为 例 ， 演 示 构 造 恶 意 利 用 P O C t e s t . h t m l （ 2 ） 漏 洞 利 用 效 果 一 旦 被 攻 击 者 访 问 该 网 页 ， 就 会 自 动 触 发 ， 会 自 动 访 问 具 有 漏 洞 的 j s o n p 接 口 ， 利 用 被 攻 击 者 自 己 的 s e s s i o n 获 取 到 被 攻 击 者 的 信 息 ， 并 将 该 信 息 远 程 发 送 到 攻 击 者 的 服 务 器 上 （ 3 ） 实 际 案 例 以 某 电 商 为 例 ， 劫 持 该 电 商 的 用 户 购 物 车 < ? p h p e r r o r _ r e p o r t i n g ( 0 ) ; s e s s i o n _ s t a r t ( ) ; $ c a l l b a c k   =   $ _ G E T [ ' c a l l b a c k ' ] ; i f ( $ _ S E S S I O N [ ' n a m e ' ]   = = =   ' a d m i n ' ) { e c h o   $ c a l l b a c k . " ( { ' i d ' : 1 , ' n a m e ' : ' m i s s f r e s h _ a d m i n ' } ) " ; } e l s e i f   ( $ _ S E S S I O N [ [ h t t p : / / 1 7 2 . 1 6 . 3 1 . 1 4 9 / j s o n p / i n d e x . p h p ? c a l l b a c k = j s o n p _ 5 9 8 1 % 3 C i m g % 2 0 s r c = x % 2 0 o n e r r o r = a l e r t ] ( h t t p : / / 1 7 2 . 1 6 . 3 1 . 1 4 9 / j s o n p / i n d e x . p h p ? c a l l b a c k = j s o n p _ 5 9 8 1 % 3 C i m g % 2 0 s r c = x % 2 0 o n e r r o r = a l e r t ) ( / x s s / ) % 3 E < h t m l > < h e a d > < t i t l e > j s o n p 劫 持 < / t i t l e > < m e t a   c h a r s e t = " u t f - 8 " > < / h e a d > < s c r i p t   t y p e = " t e x t / j a v a s c r i p t "   s r c = " h t t p s : / / a p p s . b d i m g . c o m / l i b s / j q u e r y / 2 . 1 . 4 / j q u e r y . m i n . j s " > < / s c r i p t > < s c r i p t >
5 . 2   C O R S 跨 域 跨 域 5 . 2 . 1   C O R S 跨 域 原 理 C O R S （ C r o s s   O r i g i n   R e s o u r c e   S h a r i n g ） ， 跨 域 资 源 共 享 ， 为 了 弥 补 J S O N P 等 跨 域 常 见 技 术 的 缺 陷 ， 而 提 出 的 安 全 方 便 的 跨 域 方 案 。 它 允 许 浏 览 器 想 跨 域 服 务 器 ， 发 出 X M L H t t p R e q u e s t 请 求 ， 从 而 克 服 A J A X 只 能 同 源 使 用 的 限 制 。 C O R S 需 要 浏 览 器 和 服 务 器 同 时 支 持 ， 相 比 J S O N P 更 加 复 杂 ， 但 是 一 般 目 前 的 浏 览 器 都 是 支 持 的 ， 服 务 器 只 需 要 进 行 相 应 配 置 ， 其 通 信 过 程 都 是 浏 览 器 自 动 完 成 ， 对 于 开 发 人 员 来 说 ， 跟 写 A J A X 的 代 码 没 有 区 别 ， 只 是 会 在 发 送 跨 域 请 求 时 在 H T T P 请 求 头 中 添 加 一 些 字 段 来 验 证 ， 关 键 字 段 如 下 : 1 、 A c c e s s - C o n t r o l - A l l o w - O r i g i n ： 指 定 哪 些 域 可 以 访 问 域 资 源 。 例 如 ， 如 果 r e q u e s t e r . c o m 想 要 访 问 p r o v i d e r . c o m 的 资 源 ， 那 么 开 发 人 员 可 以 使 用 此 标 头 安 全 地 授 予 r e q u e s t e r . c o m 对 p r o v i d e r . c o m 资 源 的 访 问 权 限 。 2 、 A c c e s s - C o n t r o l - A l l o w - C r e d e n t i a l s ： 指 定 浏 览 器 是 否 将 使 用 请 求 发 送 c o o k i e 。 仅 当 a l l o w - c r e d e n t i a l s 标 头 设 置 为 t r u e 时 ， 才 会 发 送 C o o k i e 。 3 、 A c c e s s - C o n t r o l - A l l o w - M e t h o d s ： 指 定 可 以 使 用 哪 些 H T T P 请 求 方 法 （ G E T ， P U T ， D E L E T E 等 ） 来 访 问 资 源 。 此 标 头 允 许 开 发 人 员 通 过 在 r e q u e s t e r . c o m 请 求 访 问 p r o v i d e r . c o m 的 资 源 时 ， 指 定 哪 些 方 法 有 效 来 进 一 步 增 强 安 全 性 。 5 . 2 . 2   C O R S 实 现 流 程 1 、 服 务 器 配 置 支 持 C O R S ， 默 认 认 可 所 有 域 都 可 以 访 问 2 、 浏 览 器 客 户 端 把 所 在 的 域 填 充 到 O r i g i n 发 送 跨 域 请 求 3 、 服 务 器 根 据 资 源 权 限 配 置 ， 在 响 应 头 中 添 加 c c e s s - C o n t r o l - A l l o w - O r i g i n   H e a d e r ， 返 回 结 果 4 、 浏 览 器 比 较 服 务 器 返 回 的 A c c e s s - C o n t r o l - A l l o w - O r i g i n   H e a d e r 和 请 求 域 的 O r i g i n ， 如 果 当 前 域 获 得 授 权 ， 则 将 结 果 返 回 给 页 面
5 . 2 . 3   C O R S 代 码 实 战 利 用 P H P 代 码 实 现 C O R S ， 只 需 要 在 服 务 器 端 的 代 码 中 加 入 h e a d e r 字 段 1 、 a . m i s s f r e s h . c o m 服 务 端 代 码 代 码 简 单 解 释 ， 声 明 一 个 个 人 信 息 的 接 口 2 、 b . m i s s f r e s h . c o m 域 中 客 户 端 代 码 代 码 简 单 解 释 ， b . m i s s f r e s h . c o m 利 用 a j a x 异 步 访 问 a . m i s s f r e s h . c o m 个 人 信 息 接 口 3 、 代 码 效 果 演 示 可 以 看 到 被 浏 览 器 拦 截 ， 无 法 发 起 C O R S 请 求 此 时 将 a . m i s s f r e s h . c o m 服 务 端 接 口 添 加 h e a d e r 头 即 可 代 码 改 为 此 时 就 可 以 触 发 C O R S < ? p h p $ a   =   ! e m p t y ( $ _ G E T [ ' a ' ] )   ?   t r i m ( $ _ G E T [ ' a ' ] )   :   ' ' ; i f ( $ a   = =   ' g e t U s e r I n f o ' )   { e c h o   j s o n _ e n c o d e ( a r r a y ( ' u i d '   = >   1 , ' n a m e '   = >   ' 测 试 ' , ) ) ; }   e l s e   { e c h o   ' ' ; } < ! d o c t y p e   h t m l > < h t m l   l a n g = " z h - c n " > < h e a d > < m e t a   c h a r s e t = " U T F - 8 "   / > < t i t l e > c o r s - t e s t < / t i t l e > < / h e a d > < b o d y > < d i v   > < / d i v > < / b o d y > < s c r i p t   s r c = " h t t p s : / / a p p s . b d i m g . c o m / l i b s / j q u e r y / 2 . 1 . 4 / j q u e r y . m i n . j s " < ? p h p h e a d e r ( ' A c c e s s - C o n t r o l - A l l o w - O r i g i n :   * ' ) ; h e a d e r ( ' A c c e s s - C o n t r o l - A l l o w - C r e d e n t i a l s :   t r u e ' ) ; $ a   =   ! e m p t y ( $ _ G E T [ ' a ' ] )   ?   t r i m ( $ _ G E T [ ' a ' ] )   :   ' ' ; i f ( $ a   = =   ' g e t U s e r I n f o ' )   { e c h o   j s o n _ e n c o d e (
5 . 2 . 4   C O R S 安 全 威 胁 C O R S 一 般 最 常 见 的 安 全 威 胁 就 是 C O R S 错 误 配 置 导 致 资 源 信 息 泄 漏 ， 与 J S O N P 劫 持 基 本 上 一 致 。 漏 洞 原 理 漏 洞 原 理 ： 通 常 开 发 人 员 使 用 C O R S 一 般 默 认 允 许 来 自 所 有 域 或 者 由 于 错 误 的 正 则 匹 配 方 式 造 成 绕 过 规 定 的 白 名 单 域 1 、 C O R S 漏 洞 利 用 前 提 （ 1 ） 有 用 户 凭 证 的 （ 2 ） 无 用 户 凭 证 的 2 、 实 际 案 例 以 一 加 官 网 为 例 登 陆 后 ， 访 问 个 人 信 息 ， 然 后 利 用 b u r p s u i t e 抓 包 ， 修 改 o r i g i n 的 域 ， 发 现 任 意 域 都 可 以 被 服 务 器 接 受
构 造 e x p ： 成 功 利 用 该 e x p ： 5 . 3   P o s t M e s s a g e 跨 域 跨 域 5 . 3 . 1   P o s t M e s s a g e 跨 域 原 理 P o s t M e a a g e 是 H 5 新 引 入 的 实 现 跨 域 窗 口 之 间 的 通 讯 ， 可 以 安 全 地 实 现 w i n d o w s 对 象 之 间 的 跨 域 通 信 P o s t M e s s a g e 主 要 依 靠 W i n d o w . p o s t M e s s a g e 方 法 ， 该 方 法 有 三 个 参 数 1 、 m e s s a g e ： 发 送 到 其 他 窗 口 的 数 据 2 、 t a r g e t O r i g i n ： 接 受 数 据 消 息 的 目 标 窗 口 , 当 该 值 为 星 号 （ *   ） 表 示 任 意 一 个 域 都 可 以 接 受 消 息 3 、 t r a n s f e r ： 可 选 项 ， 代 表 纤 细 的 所 有 权 除 了 发 送 之 外 ， 必 然 有 一 个 接 受 消 息 的 窗 口 ， 一 般 用 w i n d o w . a d d E v e n t L i s t e n e r ( “ m e s s a g e ” , r e c e i v e M e s s a g e . f a l s e ) , 用 以 接 受 消 息 数 据 5 . 3 . 2   P o s t M e s s a g e 实 现 流 程 1 、 创 建 一 个 页 面 A ， 定 义 一 个 P o s t m e s s a g e 方 法 2 、 创 建 一 个 页 面 B ， 定 义 一 个 w i n d o w . a d d E v e n t L i s t e n e r ( “ m e s s a g e ” ， f u n c t i o n ） 方 法 接 受 来 源 于 P o s t m e s s a g e 方 法 的 消 息 3 、 页 面 A 使 用 I f r a m e 标 签 包 含 页 面 B ， 触 发 P o s t m e s s a g e 方 法 即 可 5 . 3 . 3   P o s t M e s s a g e 代 码 实 战 1 、 p o s t . m i s s f r e s h . c o m 2 、 r e c e i v e . m i s s f r e s h . c o m < ! D O C T Y P E   H T M L > < h t m l > < h e a d > < m e t a   c h a r s e t = " u t f - 8 " > < t i t l e > m i s s f r e s h - w i n d o w . p o s t M e s s a g e ( ) 跨 域 消 息 传 递 < / t i t l e > < / h e a d > < b o d y > < d i v > < i n p u t   t y p e = " t e x t "   v a l u e = " h e l l o , m i s s f r e s h "   / > < b u t t o n < ! D O C T Y P E   H T M L > < h t m l > < h e a d > < m e t a   c h a r s e t = " u t f - 8 " > < t i t l e > m i s s f r e s h - 从 p o s t . m i s s f r e s h . c n 接 收 消 息 < / t i t l e > < / h e a d > < b o d y > < d i v   >
3 、 从 p o s t . m i s s f r e s h . c n 接 收 消 息 4 、 代 码 演 示 效 果 （ 1 ） 未 点 击 发 送 消 息 前 （ 2 ） 点 击 发 送 消 息 后 5 . 3 . 4   P o s t M e s s a g e 安 全 威 胁 P o s t M e s s a g e 跨 越 一 般 威 胁 点 在 于 对 于 目 标 域 限 制 不 严 格 导 致 的 ， 大 多 数 开 发 人 员 由 于 对 于 p o s t m e s s a g e 防 范 中 t a r g e t O r i g i n 参 数 默 认 为 *   ， 因 此 只 要 包 含 了 该 方 法 页 面 ， 构 造 利 用 代 码 ， 就 能 够 获 取 到 敏 感 信 息 。 1 、 漏 洞 利 用 前 提 （ 1 ） 页 面 存 在 点 击 劫 持 （ 2 ） p o s t m e s s a g e 函 数 中 的 t a r g e t O r i g i n 默 认 为 *   或 者 t a r g e t O r i g i 对 应 的 域 不 安 全 2 、 实 际 案 例 （ 1 ） 构 造 x s s 可 以 看 到 构 造 恶 意 x s s ， 发 送 给 目 标 域 ， 就 可 以 获 取 到 目 标 域 的 c o o k i e （ 2 ） 窗 口 劫 持 窗 口 劫 持 则 主 要 针 对 发 送 消 息 的 域 ， 劫 持 该 消 息 六 、 跨 域 安 全 场 景 六 、 跨 域 安 全 场 景 业 务 场 景 跨 域 场 景 主 要 有 以 下 两 个 场 景 1 、 共 享 个 人 信 息 数 据 2 、 共 享 c o o k i e 数 据 < / d i v > < s c r i p t > w i n d o w . o n l o a d   =   f u n c t i o n ( )   { v a r   m e s s a g e E l e   =   d o c u m e n t . g e t E l e m e n t B y I d ( ' m e s s a g e ' ) ; w i n d o w . a d d E v e n t L i s t e n e r ( ' m e s s a g e ' ,   f u n c t i o n   ( e )   { a l e r t ( e . d a t a ) ; m e s s a g e E l e . i n n e r H T M L   =  
6 . 1   共 享 共 享 c o o k i e 数 据 数 据 目 前 常 见 的 一 种 形 式 ， 就 是 统 一 登 陆 ， 所 有 的 大 型 企 业 ， 基 本 上 都 采 用 这 种 方 式 ， 登 陆 验 证 后 会 在 所 有 的 该 企 业 其 他 同 三 级 域 中 授 权 ， 因 此 一 旦 某 个 域 出 现 安 全 威 胁 后 ， 就 可 能 窃 取 到 用 户 的 c o o k i e 信 息 ， 就 可 以 利 用 该 用 户 的 c o o k i e 信 息 伪 装 用 户 操 作 6 . 2   共 享 个 人 信 息 数 据 共 享 个 人 信 息 数 据 有 些 时 候 ， 可 能 不 存 在 类 似 x s s 这 类 漏 洞 ， 直 接 获 取 到 用 户 的 c o o k i e 信 息 ， 但 是 为 了 数 据 在 资 产 域 中 交 换 ， 常 常 利 用 j s o n p 、 c o r s 技 术 ， 但 是 会 存 在 配 置 错 误 就 导 致 ， 默 认 所 有 域 可 访 问 、 正 则 被 绕 过 ， 引 入 的 某 个 J S 资 源 该 服 务 器 不 安 全 等 因 素 ， 导 致 数 据 被 劫 持 七 、 跨 域 安 全 方 案 七 、 跨 域 安 全 方 案 对 于 跨 域 的 安 全 域 ， 要 严 格 控 制 信 任 域 ， 禁 止 配 置 默 认 所 有 域 的 情 况 ， 对 于 限 制 的 正 则 表 达 式 要 严 格 测 试 通 过 对 于 引 入 的 J S 等 执 行 脚 本 ， 需 要 保 证 来 源 的 安 全 性 ， 避 免 来 源 服 务 器 本 身 的 不 安 全 威 胁 对 于 边 缘 业 务 子 域 ， 要 控 制 其 可 信 度 ， 避 免 从 边 缘 业 务 的 漏 洞 影 响 核 心 业 务 对 于 非 归 属 业 务 ， 禁 止 子 域 分 配 给 其 他 归 属 ， 避 免 第 三 方 不 遵 守 安 全 ， 存 在 漏 洞 风 险 ， 造 成 对 归 属 业 务 的 影 响 八 、 八 、   参 考 文 献 参 考 文 献 h t t p s : / / w w w . c n b l o g s . c o m / m q 0 0 3 6 / p / 8 5 5 4 1 3 9 . h t m l h t t p s : / / w w w . f r e e b u f . c o m / v u l s / 1 9 4 7 1 4 . h t m l h t t p s : / / p 0 s e c . n e t / i n d e x . p h p / a r c h i v e s / 1 2 4 / * 本 文 作 者 ： 本 文 作 者 ： 1 u 0 h u n ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理