admin管理员组

文章数量:1530034

白帽子讲Web安全（一）浏览器安全

  • 1、同源策略
    • （1）什么是同源策略
    • （2）同源策略的应用
    • （3）跨域访问
  • 2、浏览器沙箱
    • （1）背景
    • （2）原理
    • （3）实现
    • （4）注意
  • 3、恶意网址拦截
  • 4、高速发展的浏览器安全
    • （1）Filter
    • （2）CSP

1、同源策略

（1）什么是同源策略

同源策略/SOP 是由NetScape公司提出的一个著名的安全策略。所谓同源是指 “ 协议+域名+端口 ” 三者相同，即便两个不同的域名指向同一个ip地址，也非同源。浏览器出于安全方面的考虑，只允许本域名下的接口交互，不同源的客户端脚本，在没有明确授权的情况下，不能读写对方的资源。

现在所有支持javascript的浏览器都会使用这个策略。如果缺少了同源策略，浏览器很容易受到XSS、CSRF等攻击。

当JavaScript被浏览器认为来自不同源时，请求被拒绝

（2）同源策略的应用

在浏览器中，< script>、< img>、< iframe>、< link>等标签都可以跨域加载资源，而不受同源策略的限制。但是带 “src” 属性的标签每次加载时，实际上是由浏览器发起了一次GET请求。不同于XMLHttpRequest的是，通过src属性加载的资源，浏览器限制了JavaScript的权限，使其不能读、写返回的内容。

XMLHttpRequest 对象提供了对 HTTP 协议的完全的访问，包括做出 POST 和 HEAD 请求以及普通的 GET 请求的能力。

（3）跨域访问

同源策略限制了跨域访问，但是随着业务的发展，跨域请求的需求越来越迫切。因此，W3C委员会制定了XMLHttpRequest跨域访问标准。它需要通过目标域返回的HTTP头来授权是否允许跨域访问，因为HTTP头对于JavaScript来说一般是无法控制的，所以认为这个方案可以实施。

对于浏览器来说，除了DOM、Cookie、XMLHttpRequest会受到同源策略的限制外，浏览器加载的一些第三方插件也有各自的同源策略。最常见的一些插件如Flash、Java App

本文标签： 帽子浏览器web

版权声明：本文标题：白帽子讲Web安全（一）浏览器安全 内容由热心网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：https://m.elefans.com/dianzi/1726627635a1078930.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。