ie7+ajax跨域,很矬的事情,IE7的本地文件居然可以ajax跨域 -电脑资料

大风起兮云飞扬

比如

file:///D:/soft/develop/env/sites/www.a.com/test.html

代码片段如下：

......

var xhr=new XMLHttp();

function postURLRet(url, data){

if(xhr)   {

xhr.open("POST",url,false);

xhr.setRequestHeader(Content-Type,application/x-www-form-urlencoded);

xhr.send(data);

return xhr.responseText;

}

return "";

}

在IE 7里，默认会提示加载不安全activex控件，要求确认

确认以后，就可以跨域了

Firefox 3 没有这个问题

但是

世上的事情往往出在这个但是上面，很矬的事情,IE7的本地文件居然可以ajax跨域》(https://www.unjs.com)。

firefox的ietab扩展，则没有任何安全提示与确认，直接跨域了。

不知道其他以IE为核心的第三方浏览器会不会也存在这种问题。

总的看来，IE还是不应该让本地文件能够跨域，即便是需要用户确认，这样做也是非常不妥的，等于多了一条能够打破安全模型的路径，虽然设了个卡子，谁知道哪天不会被绕过去呢。

本地文件跨域如果和其他漏洞结合起来，比如下载任意文件(无执行，能预测路径)，威力还是会非常巨大的。

两个鸡肋漏洞相加，可能就变成一个很牛B的漏洞了。