同源策略（拓展）& HTML DOM、API等介绍

01 两种类型信息泄露

个人信息泄露。黑客可以针对个人的习惯生成有规则的字典，然后通过去社工网站寻找你曾经注册过的网站，然后对这些你注册过的网站进行逐一的暴力破解。

世界上没有爆破不出的密码，只看你的字典够不够大┓(;´_｀)┏

当然现在很多网站的账户登录都需要进行验证，这样的话我们就需要配合其他漏洞来进行联合攻击啦！

网站信息泄露。网站比较敏感的信息比如有：数据库账号密码，后台管理处，robotx.txt、./svn、弱口令等等。

有很多后台管理员为了方便管理，习惯性的将数据库账号密码直接写在文档里面，就可能造成了数据库账号密码泄露，进而导致网站数据泄露！

比较严重的情况就是存在弱口令，如今，教育行业，政府行业单位的网站整体架构都是运用最新的java框架搭建，相对来说是比较安全的，但是，对于一些其他的门户网站和OA系统等，就会因为一个简简单单的弱口令，导致整个内网的服务器中勒索病毒！

在过去应急中，往往都是能够通过一个简简单单的网站弱口令，然后通过越权漏洞直接越权到管理员后台，直接gethsell拿下服务器，传播勒索病毒！不要问我怎么知道整个流程的，还好那些企业有钱，购置了日志服务器，且服务器日志还保留着。通过分析各种日志的出来的结论！所以，不管各位是不是运维人员，只要你搭建了网站并且对外公开。一定要做好相关的备案和日志的开启，包括数据库日志，系统日志，服务器日志，网站日志等等！！！这是保命的证据！

02 同源策略的概念

不同域的客户端脚本在没有明确声明的情况下，不能读写对方的资源，本文的内容都会围绕这句话展开，比较重要的两个概念，域，明确的声明。那么什么是同域呢？看过上一篇文章的都知道，要求同协议，同域名，同端口，相反，其中的任何一项不满足都称为不同域，其实对于不同厂家的浏览器