web安全策略xssppt課件-展示頁
2025-01-20 20:13本頁面
【正文】 lash安全策略 瀏覽器同源策略 ? 也叫同域策略，指的是同協(xié)議、同域名和同端口。簡(jiǎn)單的說，就是要求動(dòng)態(tài)內(nèi)容（如： JS、 VBS ）只能讀取或者修改與之同源的 HTTP應(yīng)答和 Cookie，而不能讀取來自 不同源的內(nèi)容。 瀏覽器同源策略 URL1 URL2 同源 原因 是 使用同協(xié)議、同域名、同端口 是 頁面屬于不同目錄、但同協(xié)議、同域名、同端口 是 默認(rèn)端口為 80 否 協(xié)議不同 否 域名不同 否 端口號(hào)不同 否 雖然后者是前者的子域，但是也被認(rèn)為是不同域 否 不同子域也是不同域 瀏覽器同源策略 ? 來自同一個(gè)域不同子域的頁面之間，通過對(duì) JS的變量（頁面上一級(jí)域的值），可以有限度的違反同源策略，允許不同子域頁面之間的相互訪問。 / script 因此：如果能向域中的一個(gè)頁面注入 JS，就也能給域中其他任何一個(gè)頁面注入。樣例代碼： 瀏覽器同源策略 ? 同源策略不允許跨域信息的提交， XMLHttpRequest對(duì)象已經(jīng)不允許跨域發(fā)送 HTTP請(qǐng)求。以下代碼會(huì)報(bào)錯(cuò)： 瀏覽器同源策略 ? 跨站腳本攻擊中，往往需要將被攻擊者的信息發(fā)送到指定域的 URL，或者需要根據(jù)不同的用戶信息向被攻擊者發(fā)送不同的 JS代碼，因此需要解決跨域雙向通信。大數(shù)據(jù)事先載入一個(gè)隱藏的 iframe，將 Form表單放入 iframe,再以 POST方式提交。服務(wù)器不僅可以對(duì) Cookie進(jìn)行讀寫，還可以為 Cookie設(shè)置安全屬性。任何域都不能將 cookie設(shè)置為頂級(jí)域名 *. ? Path： 包含 URL路徑，用于提高安全模型的控制力度，可選，如果設(shè)置了 Path，那么瀏覽器只會(huì)把 Cookie發(fā)送給路徑與 Path吻合的頁面。但 HTTP和 HTTPS的響應(yīng)都可以對(duì) Secure屬性進(jìn)行設(shè)置。沒有設(shè)置該屬性的 Cookie在瀏覽器關(guān)閉時(shí)，會(huì)被刪除，即會(huì)話 Cookie； ? HttpOnly: 設(shè)置該屬性后，客戶端將不允許通過 JS的()獲取該 cookie Cook
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1