chjunjun的博客

由于浏览器同源策略使得不同源、不同域名、不同端口的Cookie无法读取、DOM和JS对象无法获取、AJAX不能发送，所以在写日常业务时常需要跨域 一、jsonp跨域(只能GET请求) 常见安全问题 1.JSON劫持，由于未校验referer来源，导致攻击者可以构造恶意页面诱导受害者访问接口，劫持敏感信息，从而导致csrf漏洞 2.callback自定义导致xss漏洞，由于未对JSON...

0x01.是什么?? DOM XSS 本质上是一种不涉及服务端的纯前端漏洞，通过浏览器端解析造成攻击。在浏览器端解析修改DOM树，由于前端代码在浏览器相当于‘公开’的，DOM XSS这类漏洞容易被分析发现。而且DOM XSS 重要的优势是它可以绕过waf 0x02.DOM XSS 有哪些场景？ 一般的攻击方法是：攻击者构造一个URL，诱发用户点击，用户点击后，URL可以利用DOM X...