场景回顾

一个表单进行跨域提交的方式有很多，我们使用的采用隐藏iframe，在本域下放一个代理页面，通过服务端配合完成一次完整的请求。

首先，部署proxy.html代理页面。这个页面处理服务端返回的数据，并执行接口的回调函数。接口请求成功后，返回的是：

<script>location.href='http://www.a.com/proxy.html?fun=callback&a=1&b=2&c=3';</script>

proxy页面，解析服务端传回的参数最后执行：

callback({

        a:1,

        b:2,

        c:3

    });

这样就完成了一次，接口请求并且在请求成功后，执行回调。

其次，页面上需要有一个隐藏的iframe，把请求发到这个页面，然后接受返回值。

整体上是这么一个过程，实现了post请求的跨域提交。

proxy.html的代码：

<!doctype html>

<html><head><meta http-equiv="Content-Type" content="text/html; charset=utf-8" /></head><body><script type="text/javascript">

(function(){

		var queryStr = location.search.substring(1).split('&'),oneQueryStr,args = {},g = top,scope = top ,callback;

		for(var i in queryStr){

			oneQueryStr = queryStr[i].split('=');

			if(!callback && oneQueryStr[0] == 'fun'){

				callback = oneQueryStr[1];

			};

			if(oneQueryStr[0]&&oneQueryStr[1]){

				args[oneQueryStr[0]] = (oneQueryStr[1]||'').replace(/[><'"{}]/g, '');

			}

		}

		callback = callback.split('.');

		if( callback[0] === 'document'

			|| callback[0] === 'location'

			|| callback[0] === 'alert'){

		}else{

			for(var i = 0,len= callback.length;i<len;i++){

				if(i==0 && callback[0]=="parent"){

					g = parent;

					scope = parent;

				}else if(i==0 && callback[0]=="top"){

					g = top;

					scope = top;

				}else{

					if(i<len-1){

						scope = scope[callback[i]];

					}

					g = g[callback[i]];

				}

			}

			g.call(scope,args);

		}

})();

</script>

</body></html>

XSS漏洞

很显然，既然页面上执行了接口返回的数据。那么就必须对返回的数据进行过滤，这样才能防止恶意的代码进行攻击。

看了上面proxy.html的代码我们发现，已经处理了fun这个参数的值，不能为alert、document、location这些值。这是通过黑名单机制来进行判断的，一旦命中就无法执行。但是一直存在这么一个问题：我们能防的只是我们所了解的XSS漏洞，如果我们不知道，就需要遇到问题，解决问题，这样显然很被动。

有这么一个攻击案例，即便是我们已经过滤了alert、document这些window下的方法，但是还有我们不知道的方法无法防御，这就增大了我们的维护成本。在我们业务里，带来的问题是：每次调整这个文件，整个公司的业务可能都会被牵扯进来，都要升级很被动。

上面的这个例子就是掉用了页面上给window下扩展的$，这个变量对于前端的同学都不陌生。这个$能干的事情就更多了，简直太可怕了。这个案例只是打印了你的cookie，他可以做很多很多的事情，后果可以预想...

解决方案

还是要过滤fun参数，这个『万恶之源』，采用的方式的白名单+黑名单，双层防护。首先使用白名单进行过滤，白名单设置的是业务所用的函数名，其他的都不信任；其次，白名单如果验证通过后，在进行黑名单验证。为什么还需要这么异步操作呢？主要的担心有这么一个方法，白名单会通过，但是又是无用的方法，这样就可以使用黑名单在此过滤。

后续跟进

我现在的这个处理方式不一定是最好的，也可能存在问题。在这里提出，有两方面的考虑。其一：想要获得更好的方案来解决这个问题；其二：攻击和防守是一个持续的问题，需要一直跟进，逐渐找到合理的解决方案。如果有更好的方案，也希望不吝赐教！

一个跨域请求的XSS漏洞的更多相关文章

  1. 一个跨域请求的XSS漏洞再续

    上回提到,由于需要使用代理页面解决POST请求的跨域请求,需要在代理页面上执行传递的函数.所以我们做了白名单只有我们认可的回调函数才能在页面上执行,防止执行非法的JS方法,做脚本攻击. 我们所采用的方 ...

  2. 一个跨域请求的XSS续

    之前讨论过,在解决post跨域请求时,采用iframe+本域代理页的形式,兼容性(当然是包括IE6啦)是最好的.上次提到,代理页面的作用是:执行本域下的回调函数.就是这个原因,给XSS带来了便利.详细 ...

  3. CSRF(跨站请求伪造攻击)漏洞详解

    Cross-Site Request Forgery(CSRF),中文一般译作跨站点 请求伪造.经常入选owasp漏洞列表Top10,在当前web漏洞排行中,与XSS和SQL注入并列前三.与前两者相比 ...

  4. 跨域请求方式之Jsonp形式

    在浏览器端才有跨域安全限制一说,而在服务器端是没有跨域安全限制的. 在两个异构系统(开发语言不同)之间达到资源共享就需要发起一个跨域请求. 而浏览器的同源策略却限制了从一个源头的文档资源或脚本资源与来 ...

  5. access-Control-Allow-Origin跨域请求安全隐患

    最新的W3C标准里是这么实现HTTP跨域请求的,Cross-Origin Resource Sharing,就是跨域的目标服务器要返回一系列的Headers,通过这些Headers来控制是否同意跨域. ...

  6. jQuery jsonp跨域请求

    跨域的安全限制都是对浏览器端来说的,服务器端是不存在跨域安全限制的. 浏览器的同源策略限制从一个源加载的文档或脚本与来自另一个源的资源进行交互. 如果协议,端口和主机对于两个页面是相同的,则两个页面具 ...

  7. thinkphp 设置跨域请求

    场景:我的本地网页服务器无法访问本地的接口服务器接口提示一下错误:大致意思是:是一个跨域请求我的没有访问该地址的权限(接口服务器采用的是PHP编写) XMLHttpRequest cannot loa ...

  8. 在ASP.NET 5应用程序中的跨域请求功能详解

    在ASP.NET 5应用程序中的跨域请求功能详解 浏览器安全阻止了一个网页中向另外一个域提交请求,这个限制叫做同域策咯(same-origin policy),这组织了一个恶意网站从另外一个网站读取敏 ...

  9. Ajax+Spring MVC实现跨域请求（JSONP）JSONP 跨域

    JSONP原理及实现 接下来,来实际模拟一个跨域请求的解决方案.后端为Spring MVC架构的,前端则通过Ajax进行跨域访问. 1.首先客户端需要注册一个callback(服务端通过该callba ...

随机推荐

  1. js高级程序设计（第三版）学习笔记（第一版）

    ecma:欧洲计算机制造商协会iso/iec:国际标准化和国际电工委员会 dom级别(10*)文档对象模型1:DOM核心(映射基于xml文档)与dom html(在dom核心基础上)2:对鼠标,事件, ...

  2. 站点建设10个最好的响应的HTML5滑块插件

    大多数的最佳响应的HTML5滑块插件能够使用移动应用程序,站点建设项目,以及Web开发项目提供一些令人兴奋的功能,如无限的动画效果,百分之中的一个百响应布局设计和很多其它. 1.别急!慢慢来 功能丰富 ...

  3. const与define的异同

    1. DEFINE是预处理指令,是简单的文字替换:而const是关键字,用于变量声明的修饰. 2. DEFINE替换的结果可以是数值.表达式.字符串.甚至是一个程序:而const只能限定变量为不可修改 ...

  4. Android企业级程序完全退出的解决方案

    一.问题描述 在平常开发的过程中可以发现,很多开发者对于程序的退出都没有去认真的解决.一般要么是一个简单的finish(只是退出当前的activity),要么是其他的方法,比如: 1.第一种方法:首先 ...

  5. Sybase自增字段跳号的解决方法

    Sybase自增字段跳号原因及影响: 在Sybase数据库中如果数据库在开启的情况下,因为非正常的原因(死机.断电)而导致数据库服务进程强制结束. 那么自动增长的字段将会产生跳号的情况,再往数据表里面 ...

  6. Oracle 用户、对象权限、系统权限

    --================================ --Oracle 用户.对象权限.系统权限 --================================  一.用户与模式 ...

  7. SDK命令行操作

    * 使用前需要先在path中添加Android SDK的环境变量,跟Java JDK的配置相同 我当前目录如下:F:\Program\Android SDK\tools:F:\Program\Andr ...

  8. css布局详解（二）——标准流布局（Nomal flow）

    css标准流布局(Nomal flow) 一.正常流 这是指西方语言中文本从左向右,从上向下显示,这也是我们熟悉的传统的HTML文档中的文本布局.注意,在非西方的语言中,流方向可能不同.大多数元素都在 ...

  9. Silverlight visifire Chart图表下载到PPT文件中

    一.Silverlight xaml.cs文件 1. //下载图表        private void btnDown_Click(object sender, RoutedEventArgs e ...

  10. cocos2dx Menu

    ---恢复内容开始--- cocos2dx 3.0以后 Menu相关回调函数使用不同.现在列出当前版本可使用的方法. 看见一个说的很仔细的博客,博客源地址 http://blog.sina.com.c ...