【漏洞挖掘】——45、 JSONP攻防原理

基本介绍

JSONP(JSON With Padding)是基于JSON格式的为解决跨域请求资源而产生的解决方案，它实现的基本原理是利用了HTML里<script></script>元素标签，远程调用JSON文件来实现数据传递，如果要在a.com域下获取存在b.com的JSON 数据(getUsers.JSON)：

{"id":"1","name":"知道创宇"}

那么可以首先通过JSONP中"Padding"来getUsers.JSON，输出结果：

callback({"id":"1","name":"知道创宇"});

对于实际应用过程中callback的名称在后台实现是动态输出的，如上面的例子在php实现：

<?php
//getUser.php
    $callback = $_GET['callback'];
    print $callback.'({"id":"1","name":"知道创宇"})';
?>

然后再a.com中使用<script>进行远程调用，在JQuery里可以直接这样调用：

<script type="text/javascript" src="http://mini.jiasule.com/framework/jquery/1.9.1/jquery-1.9.1.js