Jsonp常見安全漏洞分析

2021-07-02 12:29:28 字數 1432 閱讀 8322

jsonp(json with padding)是資料格式 json 的一種「使用模式」,可以讓網頁從別的網域要資料。這個解釋來自於網際網路上面的答案。jsonp只是 一種使用json模式,之所以能夠很廣泛使用。主要用它來解決跨域訪問問題。可以方便跨網域名稱傳輸資料。一些是乙個jsonp的例子。但是,正確的使用jsonp是至關重要的,用得不好。將帶來重要資料把超範圍訪問,還會帶來各自xss漏洞。

jsonp跨域請求例子

傳統的ajax ,往往是 xmlhttprequest ,讀取乙個介面,返回類似: json值。一般我們都採用xmlhttprequest方法通過狀態判斷執行請求是否完畢。

jsonp的使用模式裡,該url回傳的是由自定義傳入函式名,動態生成json作為該函式入參,這就是jsonp 的「填充(padding)」或是「前輟(prefix)」的由來。

請求:

返回:
parseresponse()
parseresponse是傳入引數值決定的,這樣好處通過script標籤可以解決跨域問題,並且只要script src位址載入完,js解析引擎就開始執行src位址返回 js內容了。 我們使用者不用關心,什麼時候src位址載入解析完。只用寫好接收函式:parseresponse,到時候自動回執行該專案。比傳統ajax確實多了很多方便!目前,象google翻譯,地圖等都用該方法。實現了跨域及非同步呼叫!

jsonp漏洞將來自**?

它給我們帶來的發布,是毫無疑問的。那麼它將會有哪些漏洞呢?首先,我們知道,一切輸入是有害的

。傳入callback 值會在結果裡面直接返回。因此,如果該引數過濾不嚴格。可以隨便輸入:callback值為:alert(『1』);parseresponse  字串。返回結果會列印個alert視窗,然後也會正常執行。

那麼另外我們知道,flash是可以跨域的。flash請求外部資源,現在都有個」crossdomain.xml」,可以授權允許那些**的站點,訪問指定站點的資源。其實目的就是為了防止,資源被越權呼叫了。 如果我們不對其授權,那麼任何**都可通過:建立script標記,讀取我**資源了!這個安全項,也就是是否有對訪問**進行了授權訪問!

jsonp漏洞總結:

知道了jsonp漏洞點主要有:callback引數注入、資源訪問授權設定!我們其實,可以通過這2項,來檢測我們的做的jsonp專案,裡面是否有安全隱患了。好了,今天先分析到這裡。這些漏洞都是,技術實現型漏洞!只要,我們明白了方法,杜絕是很容易的。之所以會出現類似安全隱患,更多來自,不知道這裡有類似安全問題!,

題外話、發發感慨!!現在網上看到很多教程,以及書籍都只會講,怎麼樣使用某個功能,它的方法、技巧等等!很少解決,技術功能點安全避免漏洞的呼叫方法!

做乙個功能很重要,但是我始終認為,開發乙個安全、穩定功能是最基礎的前提。 如果做的功能不安全,穩定!它急著上線,只會帶來更大的風險、或是損失!!!

常見應用安全漏洞

1.注入 注入攻擊漏洞,例如sql os ldap注入。這些攻擊發生在當不可信的資料作為命令或查詢語句的一部分,被傳送給直譯器的時候,攻擊者傳送的惡意資料可以欺騙直譯器,以執行計畫外的命令或未授權的查詢。2.失效的身份認證和會話管理 與身份認證和會話管理相關的應用程式功能往往得不到正確的實現,這就導...

常見Web安全漏洞

不同許可權賬戶之間的存在越權訪問 檢測防範 1伺服器端必須對每個頁面鏈結進行許可權判斷。2使用者登陸後,伺服器端不應再以客戶端提交的使用者身份資訊為依據,而應以會話中服務端儲存的已登陸的使用者身份資訊為準。3頁面提交的資源標誌與已登陸的使用者身份進行匹配比對,然後判斷其對當前鏈結是否有許可權。4必須...

ASP常見的安全漏洞

asp的漏洞已經算很少的了,想要找到資料庫的實際位置也不簡單,但這不表明黑客無孔可入,也正是這個觀點,一般的程式設計員常常忘記仔細的檢查是否有漏洞,所以才有可能導致 資料被竊取的事件發生。今天我在這裡和大家談談asp常見的安全漏洞,以引起大家的重視及採取有效的防範措施。注意,在本文中所介紹的方法請大...