2022-渗透测试-同源策略

保持微笑-泽

已于 2022-02-04 23:23:00 修改

阅读量1k

点赞数 5

文章标签：前端 javascript 安全运维渗透测试

于 2022-01-23 16:36:41 首次发布

本文链接：https://blog.csdn.net/qq_38612882/article/details/122652910

版权

目录

1.什么是同源策略?

2.同源策略的使用条件

3.同源策略的研究

1.什么是同源策略?

同源策略（Same origin policy）是一种约定，它是浏览器最核心也最基本的安全功能，如果缺少了同源策略，则浏览器的正常功能可能都会受到影响。可以说Web是构建在同源策略基础之上的，浏览器只是针对同源策略的一种实现。

2.同源策略的使用条件

1.域名一致：URL 的主机（FQDN:Fully Qualified Domain Name 全称域名）一致
2.协议一致：Schema 一致。（schema就是database(数据库)的代名词。）
3.端口号一致
同源策略的保护对象不仅仅是 iframe 内的文档。比如，实现 Ajax 时所使用的 XMLHttpRequest 对象能够访问的 URL 也受到了同源策略的限制。

iframe详解：

iframe使用总结（实战）_Benjamin——前端攻城师-CSDN博客_iframehttps://blog.csdn.net/cuew1987/article/details/11265153?ops_request_misc=%257B%2522request%255Fid%2522%253A%2522164292286616781685378442%2522%252C%2522scm%2522%253A%252220140713.130102334..%2522%257D&request_id=164292286616781685378442&biz_id=0&utm_medium=distribute.pc_search_result.none-task-blog-2~all~sobaiduend~default-3-11265153.pc_search_insert_es_download&utm_term=iframe&spm=1018.2226.3001.4187ajax详解

(6条消息) 看这一篇就够了！-Ajax详解_Oriental_的博客-CSDN博客https://blog.csdn.net/Oriental_/article/details/104863762?ops_request_misc=%257B%2522request%255Fid%2522%253A%2522164292599916780357277993%2522%252C%2522scm%2522%253A%252220140713.130102334..%2522%257D&request_id=164292599916780357277993&biz_id=0&utm_medium=distribute.pc_search_result.none-task-blog-2~all~top_positive~default-1-104863762.pc_search_insert_es_download&utm_term=Ajax&spm=1018.2226.3001.4187

3.同源策略的研究

准备两个页面

---------index.html

<html>
<head>
<title> 跨 frame 的读取试验 </title>
<meta charset='utf-8'>
</head>
<body>                                        
<iframe name="iframe1" width="300" height="80"
src="http://localhost/sop/iframe.html"
> 
</iframe>
<input type="button" onclick="go()" value=" 密码→ "> <script>
function go() {
    try {
       var x = iframe1.document.form1.passwd.value;
       document.getElementById('out').innerHTML = x;
    } catch (e)
    {
       alert(e.message);
    }
}
</script>
<span id="out"></span>
</body>
</html>

-------iframe.html

<html>
<head>
<meta charset='utf-8'>
</head>
<body>
<form name="form1"> iframe 的内层 


密码 <input type="text" name="passwd" value="password1">
</form>
</body>
</html>

此时，符合同源策略的情况是 [http://localhost/sop/]

如果我们将访问地址改为我们的IP去访问，就会报错。原因是：js代码只能读取同一个域下的代码。

如果我们将其改为 [http://192.168.0.107/sop/] ，如图，同样localhost就无法读取，必须要遵守同源策略。

保持微笑-泽

关注

5
点赞
踩
5

收藏

觉得还不错? 一键收藏
打赏
2
评论
2022-渗透测试-同源策略

1.什么是同源策略?同源策略（Same origin policy）是一种约定，它是浏览器最核心也最基本的安全功能，如果缺少了同源策略，则浏览器的正常功能可能都会受到影响。可以说Web是构建在同源策略基础之上的，浏览器只是针对同源策略的一种实现。2.同源策略的使用条件1.域名一致：URL 的主机（FQDN:Fully Qualified Domain Name 全称域名）一致2.协议一致：Schema 一致。（schema就是database(数据库)的代名词。）3.端口号一致同源..
复制链接

扫一扫