WebGoat——Ajax安全（一）

最新推荐文章于 2024-08-06 15:28:44 发布

lay_loge

最新推荐文章于 2024-08-06 15:28:44 发布

阅读量673

点赞数

CC 4.0 BY-SA版权

分类专栏： WebGoat

本文链接：https://blog.youkuaiyun.com/lay_loge/article/details/88820551

本文详细介绍了WebGoat中的Ajax安全练习，包括同源策略保护，防止非同源服务器的数据传递。此外，还讨论了DOM-Based跨站脚本（XSS）攻击，通过四个阶段演示如何利用和修复DOM XSS漏洞，强调了客户端过滤在防止敏感信息泄漏中的重要性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、同源策略保护 Same Origin Policy Protection

（1）题目：This exercise demonstrates the Same Origin Policy Protection. XHR requests can only be passed back to the originating server. Attempts to pass data to a non-originating server will fail.
这次练习展示了同源策略保护。XHR请求只能传递回原始服务器。将数学传送到非原始的服务器将会失败。

在这里插入图片描述
（2）技术概念或主题（Concept/Topic To Teach)
AlAX技术的一项关键元素是XML Http Request(XHR)，该技术允许客户端向服务端发起异步调用。然而，作为一项安全措施，这些请求最好只能从客户端原始页面向服务端发起访问。
（3）技术原理（How It works)
同源保护策略是JavaScript安全模型的基础。任意来源的JavaScript代码都只能访问或
操作同一来源的数据。“源”由三个部分组成：域（Domain)、协议（Protocol）、端口（Port)。同源策略是客户端脚本重要的安全度量标准。其目的是防止某个文档或脚本从多个不同源装载。当脚本被浏览器运行时，它们应该只被允许访问来自同一站点的资源，而不是那些来自其它站点可能包含有恶意的资源。运用了同源安全策略后，用户就能确保自己正在查看的页面确实来自于正在浏览的域。