同源策略

浏览器中有两个安全机制，一个浏览器沙盒（Sandbox），另一个就是同源策略(Same Origin Policy，简称SOP) ，下面介绍同源策略。同源是指同协议、同域名、同端口，必须三同，缺一不可。下面列举了一些例子，为方便读者了解哪些是属于同源，下面列举一些案例：

根据这个策略，a.com域名下的JavaScript无法跨域操作b.com域名下的对象。跨域的安全限制都是对浏览器端来说的，服务器端是不存在跨域安全限制的。如下流程图：

流程图1.

流程图2.

不同源也意味着不能通信，因为同源策略认为其他任何站点的资源内容都是不安全的。这个限制有一定的道理，我们来想象一个场景，假设攻击者利用Iframe标签，把真正的银行登陆页面嵌套在他的页面上，那么当用户在这个嵌套的页面上登陆时，该页面就可以通过JavaScript读取到用户表单中的内容，意味着用户就泄露了登陆信息。

浏览器使用了同源策略之后，好处是能确保用户正在查看的页面确实是来自于正在浏览的域，然而有好就会有坏，坏处是一些业务就是需要进行跨域操作，同源策略显然就阻挡了业务需求。比如现在IT公司都发展得大，（假设的案例）阿里公司有好几个事业部，淘宝、天猫、支付宝等独立的事业部，你在登陆支付宝页面的时候，你跳转到支付宝的个人中心页面时，支付宝就会跨域去请求你登陆过的淘宝站的接口来回传你的个人信息。

在这种情景下，你可以思考一下开发者怎么做到跨域的？其实解决方法还是有很多的，比如JSONP就是其中一种。下面我们就介绍JSONP跨域请求。

JSONP原理

为了便于客户端使用跨站的数据，开发的过程中逐渐形成了一种非正式传输协议。人们把它称作JSONP，该协议的一个要点就是允许用户传递一个callback参数给服务端，然后服务端返回数据时会将这个callback参数作为函数名来包裹住JSON数据，这样客户端就可以随意定制自己的函数来自动处理返回数据了。

JSONP 跨域请求的原理，可以参考下面的文章，这位大佬从前端开发的角度把开发流程都讲清楚了，我就不在叙述了。

https://www.cnblogs.com/chiangchou/p/jsonp.html

随着跨域技术带来了便利，同样的，也带来了安全风险。

观察B站的JSONP跨域请求流程

1. 登陆B站之后，进入B站的个人中心页面：https://space.bilibili.com/9996xxx1
1. 打开F12调试工具，查看是否有跨站请求，通过查看url 是否有callback=

很明显了，现在所在域名是space.bilibili.com，但是却跨域请求了api.bilibili.com的数据

1. 查看前端源码，发现确实是做了jsonp

测试是否存在JSONP劫持

https://api.bilibili.com/x/space/myinfo?jsonp=jsonp&callback=__jp0 ，看到URL的GET参数里面并没有携带token，那么有以下两种方式来测试是否存在JOSONP劫持。

方式一

正常重放以下数据包，看到个人信息正常返回。

修改Referer Referer: https://space.abilibili.com/9996xxx1 ，将space.bilibili.com改成space.abilibili.com，发现返回信息没有个人信息，意味着不存在JSONP劫持。

方式二

制作一个playload：

<html>

    <meta content="text/html; charset=utf-8" http-equiv="Content-Type" />

    <script type="text/javascript">

        function __jp0(result) {

            console.log(result);

        }

    </script>

    <script type="text/javascript" src="https://api.bilibili.com/x/space/myinfo?jsonp=jsonp&callback=__jp0"></script>

</html>

放在一个web站点，使用已经登陆B站的浏览器打开这个链接。如果控制台（Console）没有输出个人信息，也意味着不存在JSONP劫持。

JSONP劫持与CSRF的相同与不同

利用上相同：

需要用户点击恶意链接
用户必须登陆该站点，在本地存储了Cookie

两个不同：

必须找到跨站请求资源的接口来实施攻击
CSRF只管发送http请求，但是Jsonp Hijacking的目的是获取敏感数据

JSONP劫持的防御方法

JSONP劫持属于CSRF（ Cross-site request forgery 跨站请求伪造）的攻击范畴，所以解决的方法和解决CSRF的方法一样。

1、验证 HTTP Referer 头信息；

2、在请求中添加Token，并在后端进行验证；

同源策略与JSONP劫持原理的更多相关文章

同源策略与 JSONP CORS
同源策略与 JSONP CORS 同源策略同源策略(Same origin policy)是一种约定,它是浏览器最核心也最基本的安全功能,如果缺少了同源策略,则浏览器的正常功能可能都会受到影响.可以 ...
[CORS：跨域资源共享] 同源策略与JSONP
Web API普遍采用面向资源的REST架构,将浏览器最终执行上下文的JavaScript应用Web API消费者的重要组成部分."同源策略"限制了JavaScript的跨站点调用 ...
同源策略与JSONP
[CORS:跨域资源共享] 同源策略与JSONP Web API普遍采用面向资源的REST架构,将浏览器最终执行上下文的JavaScript应用Web API消费者的重要组成部分.“同源策略”限制了J ...
javascript 同源策略和 JSONP 的工作原理
同源策略同源策略是一个约定,该约定阻止当前脚本获取或操作另一域的内容.同源是指:域名.协议.端口号都相同. 简单地说,A 服务器下的 a 端口执行 ajax 程序,不能获取 B 服务器或者 A 服务 ...
Ajax跨域请求同源策略与Jsonp
同源策略同源策略(Same origin policy)是一种约定,它是浏览器最核心也最基本的安全功能,如果缺少了同源策略,则浏览器的正常功能可能都会受到影响.可以说Web是构建在同源策略基础之上的 ...
同源策略和Jsonp、CORS
一.同源策略同源策略(Same origin policy)是一种约定,它是浏览器最核心也最基本的安全功能,如果缺少了同源策略,则浏览器的正常功能可能都会受到影响.可以说Web是构建在同源策略基础之 ...
第十九篇同源策略与Jsonp
同源策略同源策略(Same origin policy)是一种约定,它是浏览器最核心也最基本的安全功能,如果缺少了同源策略,则浏览器的正常功能可能都会受到影响.可以说Web是构建在同源策略基础之上的 ...
同源策略和JSONP（概念性）
同源策略浏览器有一个很重要的概念——同源策略(Same-Origin Policy). 所谓同源是指,域名,协议,端口相同.不同源的客户端脚本(javascript.ActionScript)在没明 ...
ajax同源策略，jsonP跨域访问
浏览器处于安全性的考虑,要求ajax请求,必须满足同源策略规定:访问的协议://域名:端口号都相同时满足同源策略,浏览器可以正确解析数据,否则如果有一项不满足要求,则属于跨域访问,浏览器可以正常获取 ...

随机推荐

深度学习遥感影像(哨兵2A/B)超分辨率
这段时间,用到了哨兵影像,遇到了一个问题,就是哨兵影像,它的RGB/NIR波段是10米分辨率的,但是其他波段是20米和60米的,这就需要pansharpening了,所以我们需要设计一种算法来进行解决 ...
YAML语法使用，JSR303数据校验
YAML YAML是 "YAML Ain't a Markup Language" (YAML不是一种置标语言)的递归缩写 # yaml配置 server: prot: YAML语 ...
微服务架构-Gradle下载安装配置教程
一.开发条件 JDK8下载地址:https://www.oracle.com/java/technologies/javase-jdk8-downloads.html Eclipse下载地址:http ...
Java实现生产者消费者（一）
问题描述:生产者和消费者问题是线程模型中的经典问题:生产者和消费者在同一时间段内共用同一个存储空间,生产者往存储空间中添加产品,消费者从存储空间中取走产品,当存储空间为空时,消费者阻塞,当存储空间满时 ...
IOS 7 UITableView cell lines不能靠左解决方法
添加一句:[UITableViewappearance].separatorInset=UIEdgeInsetsZero; 就可以解决啦.
使用 ALSAlib 播放 wav
在 ARM 2440 开发板上正常播放 16bit 44100 采样率的wav , 为了程序简单,没有判断返回值. 补充,在 ubunto 上也能正常播放. 编译方法: arm-linux-gcc ...
添加bash命令
cd ~/.bash vim mya 键入 #!/bin/bash hostname -i :x 保存退出 source ~/.bash_profile 生效
css 一行自适应等比例布局
一.浮动布局+百分比 .row { width:100%; overflow:hidden; zoom:1; } .item { float: left; width: 20%; } 该样式兼容性较好 ...
结题报告--hih0CoderP1041
题目:点此描述小Hi和小Ho准备国庆期间去A国旅游.A国的城际交通比较有特色:它共有n座城市(编号1-n):城市之间恰好有n-1条公路相连,形成一个树形公路网.小Hi计划从A国首都(1号城市)出发 ...
032.核心组件-kube-proxy
一 kube-proxy原理 1.1 kube-proxy概述 Kubernetes为了支持集群的水平扩展.高可用性,抽象出了Service的概念.Service是对一组Pod的抽象,它会根据访问策略 ...

同源策略与JSONP劫持原理