web安全策略xssppt課件-wenkub
2023-01-26 20:13:02 本頁面
【正文】 age=“javascript” (“hello world!”)?？衫@過 Path獲?。? Flash安全策略 ? 與同源策略類似，來自某個域的 flash應(yīng)用只可以讀取來自該域的響應(yīng)。但 HTTP和 HTTPS的響應(yīng)都可以對 Secure屬性進(jìn)行設(shè)置。服務(wù)器不僅可以對 Cookie進(jìn)行讀寫，還可以為 Cookie設(shè)置安全屬性。以下代碼會報錯： 瀏覽器同源策略 ? 跨站腳本攻擊中，往往需要將被攻擊者的信息發(fā)送到指定域的 URL，或者需要根據(jù)不同的用戶信息向被攻擊者發(fā)送不同的 JS代碼，因此需要解決跨域雙向通信。 / script 因此：如果能向域中的一個頁面注入 JS，就也能給域中其他任何一個頁面注入。簡單的說，就是要求動態(tài)內(nèi)容（如： JS、 VBS ）只能讀取或者修改與之同源的 HTTP應(yīng)答和 Cookie，而不能讀取來自 不同源的內(nèi)容。瀏覽器的同源策略限制了腳本只能訪問同源下的資源。 瀏覽器同源策略 ? 攻擊過程：已經(jīng)在 JS代碼，現(xiàn)在希望將代碼注入 則可在頁面 1中利用 JS創(chuàng)建一個 iframe，并將頁面 2裝載到其中，然后就可以使用 JS對頁面 2中的內(nèi)容進(jìn)行讀取和修改。由于同源策略并不禁止頁面中應(yīng)用其他域的 JS腳本和圖片等元素，因此可以利用這點通過 GET參數(shù)的方式將被攻擊者的信息發(fā)送至指定 URL。 Cookie的安全屬性包括： Domain、 Path、 Secure、 Expire、 HttpOnly Cookie安全模型 ? Domain： 與同源策略類似， Domain可以設(shè)置成 更高一級 的域名；如： domain可以設(shè)置為：，所有 *. cookie。 ? Expires： 設(shè)置該屬性，指定 Cookie的失效時間。但是，如果在一個域上的安全策略允許跟 Flash應(yīng)用程序所在域通信，則允許跨域通信。 /script ? 2）在外部以 js文件的形式嵌入 script language=“javascript” src=“” /script 利用 HTML標(biāo)簽屬性觸發(fā) ? 利用 HTML標(biāo)簽中能夠訪問文件的屬性
試題試卷相關(guān)推薦
鄂ICP備17016276號-1