能同源策略被破壞虛擬網絡測試

Question

我做的工作項目同源策略研究

這似乎同根同源的政策是政策性非常強，不能被打破？

我已經測試了iframes，CSS歷史URL hack作爲破解它的可能方法。

我想知道是否有關於可能的測試的任何想法，我可以執行他們是否會工作或不測試相同的原產地政策。是否有一個關於如何在虛擬netkit環境中進行DNS重新綁定的簡單教程？

感謝

Answer 1

首先你應該母校什麼同源策略（SOP）需要，而Browser Secuirty Handbook是一個很好的資源。

這就是說有很多方法，網站撤銷SOP賦予他們的保護。 XSS就是一個很好的例子，因爲這可以用來訪問另一個域上的數據，一個很好的例子就是the samy worm。

SOP不阻止跨站請求僞造攻擊。這個想法是，你可以發送請求，但你無法讀取響應。在這次攻擊中，請求會引起副作用，例如更改用戶的密碼。

點擊劫持是另一個缺陷的例子，其中事件（鼠標移動事件，點擊事件，按鍵事件）被傳遞到另一個域，並可能導致問題。

然後人們有意繞過SOP，CORS和JSONP就是一個很好的例子。還有Flash的crossdomain.xml文件。

最後但並非最不重要，SOP bypass vulnerabilities are incredibly common in browsers.。