跨域扩展攻击(跨域攻击原理)

jsonp跨域原理用script标签的开放策略，可以实现跨域请求数据。当正常地请求一个JSON数据的时候，服务端返回的是一串JSON类型的数据，而使用JSONP模式来请求数据的时候，服务端返回的是一段可执行的JavaScript代码。JSONP在开放API中可以起到非常重要的作用，开放API是运用在开发者自己的应用上，而许多应用往往是在开发者的服务器上，而不是在新浪微博的服务器上。因此跨域请求数据成为开发者们所需要解决的一大问题，广大开放平台应该实现对JSONP的支持，虽然某些API里没有说明，但实际上是可以使用JSONP方式调用的。扩展资料在客户端调用提供JSONP支持的URL Service，获取JSONP格式数据。比如客户想访问http://www.yiwuku.com/myService.aspx?jsonp=callbackFunction假设客户期望返回JSON数据：["customername1","customername2"]那么真正返回到客户端的Script Tags:callbackFunction([“customername1","customername2"])可能的调用方式：

是CSRF(Cross-site request forgery) 不是你写的那个! 跨域不用担心.主流浏览器都会帮你做防御的. 问题不大,主要是你自己别给其他域的权限即可.非必要的话,以最小权限原则.xss主要就是过滤输入输出.如果业务很多,还是找人审计代码吧.或者用比较成熟的模块.CSRF的话,1,验证来源 2加随机token之类的. sqli主要还是过滤输入的地方.过滤/转义关键字比如select,and,or等等(有专门的防注入模块).觉得怕麻烦的话.用那些云主机的防御功能.再加个cdn基本就没事了.(对于一般的反射型跨站也适用)

跨域 XMLHttpRequest 请求 普通网页能够使用XMLHttpRequest对象发送或者接受服务器数据, 但是它们受限于同源策略. 扩展可以不受该限制. 任何扩展只要它先获取了跨域请求许可，就可以进行跨域请求。注意:页面内容脚本不能直接发起跨域请求. 然而, 任何一个页面内容脚本都可以发送消息给父扩展，请求父扩展发起一次跨域请求。关于使用这一技术的例子，请参照contentscript_xhr example.扩展所属域每个正在运行的扩展都存在于自己独立的安全域里. 当没有获取其他权限时，扩展能够使用XMLHttpRequest获取来自安装该扩展的域的资源. 例如, 假设有一个扩展包含一个叫config.json的JSON配置文件,该文件位于config_resources目录, 那么该扩展能够使用下面这段代码获取文件内容:var xhr = new XMLHttpRequest();xhr.onreadystatechange = handleStateChange; // Implemented elsewhere.xhr.open("GET", chrome.extension.getURL('/config_resources/config.json'), true);xhr.send();如果某个扩展希望访问自己所属域以外的资源，比如说来自http://www.google.com的资源(假设该扩展不是来自www.google.com ), 浏览器不会允许这样的请求，除非该扩展获得了相应的跨域请求允许。

1）访问原来无法访问的资源，如google （2） 可以做缓存，加速访问资源（3）对客户端访问授权，上网进行认证（4）代理可以记录用户访问记录（上网行为管理），对外隐藏用户信息 客户端是无感知代理的存在的，反向代理对外都是透明的，访问者者并不知道自己访问的是一个代理。因为客户端不需要任何配置就可以访问。 （1）保证内网的安全，可以使用反向代理提供WAF功能，阻止web攻击 大型网站，通常将反向代理作为公网访问地址，Web服务

最近要把web端已有的应用扩展到移动端h5轻应用上，遇到了跨域访问一个诡异的问题。在服务端设置好Access-Control-Allow-Origin：* ；Access-Control-Allow-Credentials： "true" 后，两个系统做了cas，然后开发环境一切ok。等到项目准备上线时，打包进weblogic，居然发现访问失效。具体表现是当请求的结果超出一定数据量以后（因为可以指定每页条数，所以可以一点点的加返回数据量，当到了一个临界值以后，突然出现问题，比如30条的时候没事，31条突然就没数据了），从浏览器观察返回的response为空。在weblogic开了debug模式，发现后端一切正常没有任何错误，也确实查了数据库也确实返回了。后来为了验证这个问题，把同一个包又放到tomcat上跑，发现能返回数据量的临界值更小了，同一个包放在本地jetty上就没这个问题。所以我怀疑是不是各个应用服务器在处理跨域返回数据量时有一个默认值，可以配置的？我找了文档却没发现有这个设置。百思不得其解，卡了我好几个周了，求大神解惑！！！ 今天我又做了几个实验，这个限额大约是20k的样子！！