踩坑-浏览器安全策略

浏览器特性和安全策略

iframe中有个sandbox属性，这个就是是否允许不同域的脚本和是否执行或一些其他的安全策略，如果没有设置这个的话则不会执行不同域的任何信息

 

http及相关的知识

http是一个协议，流程是：

a) http客户端发起请求，创建端口，

b) http服务器在端口监听客户端请求，

c) http服务器向客户端返回状态和内容

具体过程如下：

1. chrome 搜索自身的DNS缓存，

2. 搜索操作系统自身的DNS缓存（浏览器没有找到或缓存已经失效）

3. 读取本地的HOST文件

4. 浏览器发起一个DNS的一个系统调用：

       宽带运营商

1. 宽带运营商服务器查看本身缓存，

2. 运营商服务器发起一个迭代DNS解析的请求，（中间很多过程，层层查找最终找到DNS对应的IP地址），然后将结果返回操作系统内核，同时缓存起来，操作系统内核把结果返回浏览器，最终浏览器拿到了DNS对应的IP地址。

5. 浏览器获得域名对应的IP地址后，发起HTTP “三次握手”

首先浏览器发起TCP连接请求，经过层层的路由设备到达tcp/ip协议栈，网卡没准还有防火墙，到达web服务器端，最终建立连接，然后是三次握手，首先客户端发起连接请求，服务器端收到请求并返回同意连接，客户端收到同意连接然后给服务器端返回收到信息。

6. TCP/IP 连接建立起来后，浏览器就可以向服务器发送HTTP请求了，比如说，用HTTP的get方法请求一个跟域里的一个域名，协议可以采用HTTP1.0的一个协议。

7. 服务器接收到了这个请求，根据路径参数，经过后端的一些处理之后，把处理后的一个结果数据返回给浏览器。

8. 浏览器拿到了穆课网的完整的HTML的页面代码，在解析和渲染这个页面的时候，里面的js，css，图片静态资源，他们同样也是一个http请求，都要经过上面的七个步骤。

 

 

HTTP协议主要包括请求和响应，无论请求还是响应都会发送http头和正文信息，http头发送的是一些附加的信息：内容类型、服务器发送响应的日期、http状态码，正文就是用户提交的表单数据

 

xss（跨站脚本攻击），注入式的脚本攻击

成因：

1. 对用户输入没有严格控制而直接输出到页面

2. 对非预期输入的信任

危害：

1. 盗取各类用户账号，如机器登陆账号，用户网银账号，各类管理员账号

2. 窃取数据

3. 非法转账

4. 挂马

。。。。

xss实例：

Payload(有效荷载)，即攻击代码

<img src=0 οnerrοr=alert(5)>

什么又是PoC？

概念验证（Proof of concept，简称POC）是对某些想法的一个不完整的实现，以证明其可行性，示范其原理，其目的是为了验证一些概念或理论。在计算机安全术语中，概念验证经常被用来作为0day、exploit的别名。（通常指并没有充分利用这个漏洞的exploit，无害）

什么又是ExP？

exploit（简称EXP），它在黑客眼里就是漏洞利用。一般指漏洞利用程序. 有害

 

vue.runtime.esm.js:620 [Vue warn]: Error in v-on handler: "SecurityError: Blocked a frame with origin "http://boss.xsyxsc.com" from accessing a cross-origin frame."

found in

---> <ViewContent> at src/viewContent.vue
       <GaiaContent> at src/App.vue
         <Root>
warn @ vue.runtime.esm.js:620
logError @ vue.runtime.esm.js:1883
globalHandleError @ vue.runtime.esm.js:1878
handleError @ vue.runtime.esm.js:1838
invokeWithErrorHandling @ vue.runtime.esm.js:1861
invoker @ vue.runtime.esm.js:2178
original._wrapper @ vue.runtime.esm.js:6907
vue.runtime.esm.js:1887 DOMException: Blocked a frame with origin "http://boss.xsyxsc.com" from accessing a cross-origin frame.
    at VueComponent.reload (webpack:///./src/viewContent.vue?./node_modules/babel-loader/lib!./node_modules/vue-loader/lib??vue-loader-options:178:132)
    at click (webpack:///./src/viewContent.vue?./node_modules/vue-loader/lib/loaders/templateLoader.js??vue-loader-options!./node_modules/vue-loader/lib??vue-loader-options:110:30)
    at invokeWithErrorHandling (webpack:///./node_modules/vue/dist/vue.runtime.esm.js?:1853:26)
    at HTMLLIElement.invoker (webpack:///./node_modules/vue/dist/vue.runtime.esm.js?:2178:14)
    at HTMLLIElement.original._wrapper (webpack:///./node_modules/vue/dist/vue.runtime.esm.js?:6907:25)
logError @ vue.runtime.esm.js:1887
globalHandleError @ vue.runtime.esm.js:1878
handleError @ vue.runtime.esm.js:1838
invokeWithErrorHandling @ vue.runtime.esm.js:1861
invoker @ vue.runtime.esm.js:2178
original._wrapper @ vue.runtime.esm.js:6907