搜索

[21942] 2021-05-06_网络安全攻防：Web安全之同源与跨域

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-05-06_网络安全攻防：Web安全之同源与跨域 网 络 安 全 攻 防 ： W e b 安 全 之 同 源 与 跨 域 L e m o n S e c   2 0 2 1 - 0 5 - 0 6 同 源 与 跨 域 之 间 其 实 有 着 相 互 制 约 的 作 用 。 它 们 从 字 面 上 看 起 来 像 两 个 反 义 词 ， 但 不 能 简 单 地 当 成 一 个 反 义 词 去 处 理 。 在 介 绍 跨 域 问 题 之 前 ， 先 来 解 释 一 下 同 源 和 同 源 策 略 。 同 源 就 是 如 果 两 个 U R L 的 协 议 、 域 名 和 端 口 相 同 ， 那 么 就 认 为 它 们 是 同 源 的 ， 3 个 元 素 缺 一 不 可 。 当 一 个 请 求 u r l 的 协 议 、 域 名 、 端 口 三 者 之 间 任 意 一 个 与 当 前 页 面 u r l 不 同 即 为 跨 域 。 同 源 策 略 是 由 浏 览 器 实 现 的 ， 限 制 了 不 同 源 之 间 的 交 互 。 这 种 限 制 主 要 是 针 对 一 些 特 殊 的 请 求 ， 如 不 同 源 访 问 d o c u m e n t 的 限 制 、 A j a x （ X M L H t t p R e q u e s t ） 请 求 限 制 等 。 并 不 是 每 个 不 同 源 的 请 求 都 会 被 限 制 的 ， 包 括 如 下 请 求 。 （ 1 ） 页 面 中 的 链 接 、 重 定 向 和 表 单 提 交 不 会 受 到 同 源 策 略 的 限 制 。 （ 2 ） 跨 域 资 源 嵌 入 是 允 许 的 ， 当 然 ， 浏 览 器 会 限 制 J a v a S c r i p t 的 读 写 。 但 互 联 网 的 发 展 趋 势 是 越 来 越 开 放 了 ， 跨 域 访 问 的 需 求 也 变 得 越 来 越 迫 切 。 所 以 ， W e b 开 发 人 员 就 会 想 出 一 些 “ 合 法 ” 的 跨 域 技 术 ， 来 进 行 不 同 源 之 间 的 访 问 ， 如 j s o n p 、 i f r a m e 跨 域 技 巧 。 1 .   D O M 的 同 源 策 略 的 同 源 策 略 浏 览 器 的 同 源 策 略 限 制 了 来 自 不 同 源 的 “ d o c u m e n t ” 或 脚 本 ， 对 于 当 前 d o c u m e n t 的 读 取 或 设 置 某 些 属 性 ， 从 一 个 域 上 加 载 的 脚 本 不 允 许 访 问 另 一 个 域 的 文 档 属 性 。 此 策 略 是 基 于 D N S 域 名 的 ， 而 不 是 实 际 的 I P 地 址 ， 由 此 会 产 生 一 些 漏 洞 ， 如 D N S 重 绑 定 攻 击 ， 当 然 ， 浏 览 器 也 会 有 相 应 的 对 策 ， 如 D N S   P i n n i n g 。 2 .   A j a x 跨 域 跨 域 由 于 浏 览 器 的 同 源 策 略 ， A j a x   的 请 求 也 会 被 限 制 。 A j a x 通 过 X M L H t t p R e q u e s t 能 够 与 远 程 的 服 务 器 进 行 信 息 交 互 ， 另 外 ， X M L H t t p R e q u e s t 是 一 个 纯 粹 的 J a v a S c r i p t 对 象 ， 这 个 交 互 过 程 在 后 台 进 行 ， 不 易 被 察 觉 。
所 以 ， 实 际 上   J a v a S c r i p t   已 经 突 破 了 原 有 的   J a v a S c r i p t   同 源 策 略 。 如 果 我 们 既 想 利 用 X M L H T T P   的 无 刷 新 异 步 交 互 能 力 ， 又 不 愿 意 公 然 突 破   J a v a s c r i p t   的 安 全 策 略 ， 可 以 选 择 的 方 案 就 是 为 X M L H T T P 加 上 严 格 的 同 源 限 制 。 这 样 的 安 全 策 略 ， 很 类 似 于 A p p l e t 的 安 全 策 略 。 i f r a m e 的 限 制 还 仅 是 不 能 访 问 跨 域 H T M L D O M 中 的 数 据 ， 而 X M L H T T P 则 从 根 本 上 限 制 了 跨 域 请 求 的 提 交 。 随 着 A j a x 技 术 和 网 络 服 务 的 发 展 ， 对 跨 域 的 要 求 也 越 来 越 强 烈 。 3 .   W e b   S t o r a g e 同 源 策 略 同 源 策 略 随 着   W e b   应 用 的 发 展 ， 客 户 端 的 本 地 存 储 使 用 得 也 越 来 越 多 。 最 简 单 而 且 兼 容 性 最 佳 的 方 案 是   C o o k i e 。 但 是 在 实 际 应 用 中 ， C o o k i e   在 应 用 上 存 在 很 多 的 缺 陷 。 所 以 ， 另 一 种 方 式 是 使 用 W e b   S t o r a g e 。 W e b   S t o r a g e 中 可 以 存 储 比 较 简 单 的 k e y - v a l u e 的 键 值 对 的 形 式 的 数 据 。 W e b   S t o r a g e 实 际 上 由 两 部 分 组 成 ： S e s s i o n   S t o r a g e 和 L o c a l   S t o r a g e 。 S e s s i o n   S t o r a g e 用 于 存 储 一 个 会 话 中 的 数 据 ， 关 闭 浏 览 器 时 就 会 失 效 ， 而 L o c a l   S t o r a g e 会 一 直 存 在 ， 用 于 持 久 性 的 存 储 ， 除 非 主 动 删 除 数 据 ， 否 则 会 一 直 存 在 。 而 W e b   S t o r a g e 也 受 到 浏 览 器 的 同 源 策 略 的 限 制 。 浏 览 器 会 为 每 个 域 都 分 配 存 储 空 间 ， 不 同 的 域 之 间 不 能 进 行 数 据 访 问 。 但 如 果 域 A 中 的 脚 本 嵌 入 域 B 时 ， 那 么 浏 览 器 是 允 许 数 据 之 间 的 访 问 的 。 4 .   C o o k i e 安 全 策 略 安 全 策 略 C o o k i e 的 同 源 策 略 与 上 述 同 源 策 略 有 一 点 不 同 。 C o o k i e 中 的 同 源 只 关 注 域 名 ， 而 会 忽 略 端 口 和 协 议 。 例 如 ， h t t p s : / / l o   c a l h o s t : 8 0 8 0 / 与 h t t p : / / l o   c a l h o s t : 8 0 8 1 / 的 C o o k i e 是 可 以 共 享 的 。 微 信 公 众 号 ： 计 算 机 与 网 络 安 全 I D ： C o m p u t e r - n e t w o r k 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c
觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理