Firefox的getter和setter带来的安全隐患

最新推荐文章于 2024-08-14 15:58:05 发布

iteye_17358

最新推荐文章于 2024-08-14 15:58:05 发布

阅读量103

点赞数

本文链接：https://blog.csdn.net/iteye_17358/article/details/82270179

版权

本文揭示了Firefox中document的getter和setter方法可能导致的安全漏洞，通过实例展示了如何利用这些方法绕过系统的权限保护机制，进而操纵document.domain和document.cookie，从而对第三方判断产生误导。

摘要由CSDN通过智能技术生成

Firefox的getter和setter带来的安全隐患
2011年04月09日
　　firefox下的document不能随便用var document来覆盖，本来是一个挺好的权限保护机制，但是它对document的保护也就到此为止了。表面上看起来系统提供的document.domain、document.cookie等接口似乎不允许开发者随便修改，但是实际上呢：
　　document.__defineGetter__( "cookie",
　　function(){
　　return this.c;
　　}
　　);
　　document.__defineSetter__( "cookie",
　　function(sText){
　　this.c="HACK : "+sText;
　　}
　　);
　　document.__defineGetter__( "domain",
　　function(){
　　return this.d;
　　}
　　);
　　document.__defineSetter__( "domain",
　　function(sText){
　　this.d="HACK : "+sText;
　　}
　　);
　　document.cookie="fake cookie";
　　alert(document.cookie)
　　document.domain="fake domain"
　　alert(document.domain)
　　document实际上已经成了一个傀儡，随便开发者摆弄了。因此我们做基于document.domain和document.cookie的一些对第三方判断时候要小心。
　　本文来自CSDN博客，转载请标明出处：http://blog.csdn.net/emu/archive/2011/02/27/621072 0.aspx