Q

什麼讓JSFiddle免受基於XSS的攻擊？

2011-07-18 39 views 24 likes

24

我很好奇，是什麼讓www.jsfiddle.net從基於XSS的攻擊中獲得安全？他們對帳戶的支持非常清楚，他們在瀏覽器上運行的任何腳本都可能會造成不好的結果。什麼讓JSFiddle免受基於XSS的攻擊？

2011-07-18 Tower

+2

的代碼的iframe實際運行，因此它不能直接拿父母的訪問。 – JohnP

+0

啊，所以它運行在一個有不同原點的iframe中？這就是全部？讓它成爲答案，我可以接受它:) – Tower

A

回答

21

如果您查看小提琴的結果窗格，您會注意到它實際上是一個指向不同域的IFRAME，這意味着內置的安全性將會啓動，通常會阻止訪問父窗口。

這搗鼓例如：http://jsfiddle.net/jomanlk/y9zCK/

實際上是由提供服務：http://fiddle.jshell.net/jomanlk/y9zCK/show/

2011-07-18 16:17:52 JohnP

+4

我想補充一點，你可以登錄http://fiddle.jshell.net/。這可能會被黑客重定向到該頁面所濫用，要求用戶登錄，然後監聽會話ID。 – Yogu

+0

你怎麼能完全防止這種在jsfiddle上的黑客行爲？ –

相關問題