同源策略:限制了来自不同源的document或者脚本在没有授权的情况下对当前document的读取和设置。
影响源的因素有:协议,host,子域名,端口
<script><image><iframe><link>等标签可以不受到同源策略的限制
DOM、Cookie、XMLHttpRequest受到同源策略的限制,此外,浏览器加载第三方插件例如Flash、Java、Applet、Sliverlight、Google Gears等都有自己的同源控制策略,如flash通过目标网站提供的crossdomain.xml文件判断是否允许当前源的flash跨站访问目标资源。
但攻击者可以上传crossdomain.xml文件来控制flash的行为,在flash9之后的版本,加入了MIME检测,即content-type来检测以确认crossdomain.xml是否合法,content-type定义网络文件的类型和网页的编码,决定浏览器将以什么类型什么编码去读取这个文件。同源策略不是绝对的安全,可以绕过,如IE 8的CSS跨域漏洞
浏览器安全
最新推荐文章于 2024-03-14 15:49:53 发布