2022-渗透测试-同源策略

2022-11-24 89

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： 2022-渗透测试-同源策略

1.什么是同源策略?

2.同源策略的使用条件

3.同源策略的研究

1.什么是同源策略?

同源策略（Same origin policy）是一种约定，它是浏览器最核心也最基本的安全功能，如果缺少了同源策略，则浏览器的正常功能可能都会受到影响。可以说Web是构建在同源策略基础之上的，浏览器只是针对同源策略的一种实现。

2.同源策略的使用条件

1.域名一致：URL 的主机（FQDN:Fully Qualified Domain Name 全称域名）一致

2.协议一致：Schema 一致。（schema就是database(数据库)的代名词。）

3.端口号一致

同源策略的保护对象不仅仅是 iframe 内的文档。比如，实现 Ajax 时所使用的 XMLHttpRequest 对象能够访问的 URL 也受到了同源策略的限制。

iframe详解：

网络异常，图片无法展示

ajax详解

网络异常，图片无法展示

3.同源策略的研究

准备两个页面

---------index.html

<html>
<head>
<title> 跨 frame 的读取试验 </title>
<meta charset='utf-8'>
</head>
<body>                                        
<iframe name="iframe1" width="300" height="80"
src="http://localhost/sop/iframe.html"
> 
</iframe>
<input type="button" onclick="go()" value=" 密码→ "> <script>
function go() {
    try {
       var x = iframe1.document.form1.passwd.value;
       document.getElementById('out').innerHTML = x;
    } catch (e)
    {
       alert(e.message);
    }
}
</script>
<span id="out"></span>
</body>
</html>

-------iframe.html

<html>
<head>
<meta charset='utf-8'>
</head>
<body>
<form name="form1"> iframe 的内层 
密码 <input type="text" name="passwd" value="password1">
</form>
</body>
</html>