白帽子讲web安全读书笔记(第二章)

1.同源策略（理解可能未很深入）：
同源策略它是浏览器的一个最核心最基础的安全功能，通俗讲就是，同源相当于自家人，我信任的可以加载和执行。非同源是外边的人，给我的东西不能乱吃，所以限制非同源的脚本进来加载。
其目的是：限制访问不同源的资源，不要把自己的信息拱手相让给别人，不同源的脚本文件可能是恶意代码，把自己重要的cooki可能都会泄露掉了给对方，是相当可怕的。

注：同源：是指协议，域名（可以是子域名），端口号一致。
(1)但是一些表签

注：XMLHttpRequest:一种后台发出了轻量http请求，更新当前页面数据。
token:是指本来我们有cookie的，但是还是不够安全，容易容易被xss攻击给泄露，token是随机数，附加在url请求上，用来认证身份的一种方式。
CSRF：一种网络攻击，不需要掌握你的cookie，只需制作一个网页，制造一个AJAX的后台“离谱”请求，去访问你刚刚访问的网站，一般还保留你的session会话，所以会通过认证，满足了离谱请求。
DOM：Dom是指一个页面的标签具体化成结点，DOM树就是把一层层标签具体化一颗树，好利用js对其进行操作。
(2)目标网站如果有crossdomain.xml文件，可以跨域访问文件指定的域名，类似白名单。不过，必须还要对返回的http对content-type进行检查，是否是xml格式的类型，(对攻击者上传的crossdomain文件的限制，我只认xml的，其他我不认)，因为攻击者可以上传crossdomain.xml文件控制插件行为，让其跨域访问不被允许的网站，flash插件还会检查是否在根目录下的crossdomain.xml文件，其他位置的都失效。

2.浏览器沙箱：应对网页挂马。
(1)浏览器采用多进程架构，多功能板块进行分开，一个进程崩溃不影响其他进程。
(2)sandbox:让不可信的代码运行在一定的特定环境，限制其访问隔离区之外的资源，信任的代码访问隔离区之外的资源，要严格通过IPC检查。
(3)但是，第三方插件可能不受sandbox管辖，这是以后要研究的地方。

3.恶意网站拦截：
应对一些网站存在 标签，并且是恶意的脚本，或者是加载一些恶意网址。
很气的是，我们不能在浏览器端实现过滤这些恶意脚本的标签，因为这是徒劳，黑客可以在自己浏览器分析并绕过，
只能周期性从服务器获取恶意网站的黑名单。很近名单进行拦截。
phishTank是互联网免费提供的恶意网站黑名单的组织，有世界各地黑客志愿者提供。