同源策略

同源策略限制了从不同源加载的文档或脚本之间的交互。是用于隔离潜在恶意文件的重要安全机制。

同源定义

影响源的因素: 域名(Host)、端口(Port)、协议(Protocol)

相对http://example.flexiblecat.com/dir/index.html同源检测的示例:
(默认端口为80)

URL 结果 原因
http://example.flexiblecat.com/dir/fine.html 成功
http://other.flexiblecat.com/dir/index.html 失败 不同域名
http://example.flexiblecat.com/dir/nice.html:81 失败 端口不同
https://example.flexiblecat.com/dir/cross.html 失败 协议不同

谁受约束?

DOM、Cookie、第三方插件以及XMLHttpRequest都受到同源策略的约束。

Cookie

只有同源的网页才能共享,但是若两个页面一级域名相同,只是二级域名不同,那么浏览器可以通过设置document.domain来共享Cookie。

这是网页A:http://a.flexiblecat.com/index.tml
这是网页B:http://b.flexiblecat.com/index.tml
只要把他们的document.domain设置成相同的,例如:document.domain='flexiblecat.com',这两个网页就可一共享Cookie啦~

不过这种方法只适用于Cookie和iframe窗口

XMLHttpRequest

它受到同源策略的约束,不能跨域访问资源,但是W3C委员会制定了XMLHttpRequest跨域访问标准。
通过目标返回的HTTP头来授权,是否允许跨域访问。实现这一点的安全基础是JavaScript无法控制HTTP头。

第三方插件

常见的有Flash、Google Gears等。第三方插件的同源策略是它们自己的,不是浏览器原生同源策略,若有漏洞,可能会被利用,产生XSS等攻击
同源策略并不是牢不可摧的,也可能被绕过,典型的有IE 8的CSS跨域漏洞。
这一个漏洞是利用@import加载企图被读取内容的页面A为CSS文件,渲染进入当前页面的DOM,然后通过document.body.currentStyle.frontFamily来访问页面A的内容。具体内容,感兴趣的话可以自行百度一下,也很好找。

要看一个网站的策略文件,一般都是URL后面加上/crossdomain.xml

谁不受限制?

一个页面编写过程中会用到很多很多的标签,勤勤恳恳认真坚守岗位的小螺丝钉们。但是可别小看他们,有的小螺丝钉可是不受同源策略的限制的哦~
例如:<script><img><link><iframe>等带src属性的标签;

为什么它们可以被允许跨域嵌入?

  • 首先,网站的JS脚本、图片、音频等资源不一定是放在存储网站页面的服务器上的,可能会通过别的方式将资源传送到浏览器中;
  • 其次,网站的编写人员正常情况下并不会故意加载恶意脚本到网站中,所以,我们默认正常网页的脚本是安全的;
  • 最后,对于当前页面来说,页面内加载的JS文件本身放在哪里并不重要,只要它被谁加载了,就和谁同源。例如:
    a.js这个JS文件,原本在x.com页面中,后来它被y.com这个页面加载了,这个时候,a.js就和y.com这个页面同源,而不是x.com。

跨域漏洞围观:
UC浏览器跨本地域XSS可盗取任意域Cookie https://www.secpulse.com/archives/16840.html
JSONP和CORS跨站跨域读取资源的漏洞利用 https://www.anquanke.com/post/id/152339


写在最后,这一块内容必须得了解一下,这是浏览器安全很重要的内容,没有它,你还敢用浏览器嘛!你的Cookie能被人随意取用,你的信息没有保障,怕是要上天哦。
关于W3C委员会制定的XMLHttpRequest跨域访问标准,感兴趣的话自己去查一下了解一下就行。

最后编辑于
©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 140,386评论 1 295
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 60,319评论 1 254
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 92,325评论 0 206
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 40,558评论 0 171
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 48,200评论 1 249
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 38,496评论 1 167
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 30,191评论 2 265
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 28,971评论 0 161
  • 想象着我的养父在大火中拼命挣扎,窒息,最后皮肤化为焦炭。我心中就已经是抑制不住地欢快,这就叫做以其人之道,还治其人...
    爱写小说的胖达阅读 28,688评论 6 223
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 32,330评论 0 211
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 29,098评论 2 211
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 30,412评论 1 222
  • 白月光回国,霸总把我这个替身辞退。还一脸阴沉的警告我。[不要出现在思思面前, 不然我有一百种方法让你生不如死。]我...
    爱写小说的胖达阅读 24,116评论 0 31
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 26,937评论 2 206
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 31,314评论 3 200
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 25,558评论 0 8
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 25,879评论 0 162
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 33,275评论 2 226
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 33,386评论 2 228

推荐阅读更多精彩内容