谷歌开发人员在现代Web浏览器中发现严重跨域漏洞

　　Google谷歌研究人员在现代网络浏览器中发现了一个严重漏洞，该漏洞可能允许您访问的网站从您登录同一浏览器的其他网站窃取您的在线帐户的敏感内容。

　　由Google谷歌Chrome的开发者支持者Jake发现，该漏洞驻留在浏览器处理视频和音频文件的跨域请求的方式中，这些文件如果被利用，可能允许远程攻击者甚至读取您的邮箱或微博消息的内容。

　　出于安全原因，现代Web浏览器不允许网站向不同的域发出跨域请求，除非任何域明确允许。这意味着，如果您访问浏览器上的网站，则只能从网站加载的相同来源请求数据，以防止它代表您进行任何未经授权的请求，企图从其他网站窃取您的数据。

　　但是，当浏览器访存其他来源的媒体文件时，网络浏览器不会以相同的方式做出响应，允许您访问的网站无限制地加载来自不同域的音频/视频文件。此外，浏览器还支持范围标题和部分内容响应，允许网站提供大型媒体文件的部分内容，这在播放大型媒体或下载具有暂停和恢复能力的文件时很有用。

​

　　由于在底层内容在请求之间发生变化后，Chrome和Safari已经制定了拒绝这些跨请求请求的策略，因此他们的用户已经受到保护。根据谷歌安全研究人员的说法，这个漏洞可以被恶意网站利用，在其网页上使用嵌入式媒体文件，如果播放该文件，它只会从自己的服务器提供部分内容，并要求浏览器从不同来源获取文件的其余部分，迫使浏览器发出一个跨域请求。（黑客周刊）