中科公益抗白 http://finance.sina.com.cn/chanjing/b/20091014/11153079059.shtml6月1日儿童节就要到了。最近，漏洞太多了，比如几天前发现的cve--。它使用windows服务器远程桌面的rdp协议进行攻击。今天，我想给你一份关于网站的礼物。jsonp可能导致csrf网站攻击。许多人将jsonp和json视为一件事，但实际情况并非如此。首先，让我们介绍什么是jsonp。简单地说，它是一种能够解决网站跨域请求的语言。它可以帮助网站跨域请求参数，同步数据，并很好地解决不同网站之间的通信问题。让我们详细分析一下jsonp劫持网站漏洞的可能性。常见网站在设计功能过程中添加jsonp实例代码，如以下段落，图1：使用php语言开发，一个非常简单的第三方jsonp界面，返回用户名和密码，当get请求将返回我们需要的值时，如果我们修改回调值，返回值也会改变，然后这可以被我们使用，修改成恶意代码，欺骗用户点击，从而从服务器端的json界面请求，当用户输入账户密码等信息时，用户密码已经不知不觉地被提交到攻击者的网站，用户密码已经被泄露。如下图:JSONP漏洞应被视为csrf攻击，它诱使用户点击并获取敏感信息，如用户的帐户密码。csrf攻击不仅仅是获取用户的帐户密码，还是用于其他攻击目的。在日常安全检测中，我们还会遇到使用令牌动态值的csrf保护。使用令牌可以极大地防止CSRF攻击，但我们可以绕过令牌保护。我们如何具体绕过它？在网址的全部客户提交表单中人们发觉一些token值被掩藏了，那麼人们能够立即仿冒编码，根据jsonp的递交方法来获得全部表格的內容，并将列举的token值获得出去，添充到人们结构的表格中，进行csrf攻击。网站漏洞修复建议对调用到的json文件以及接口进行安全限制，判断用户来路Referer，对所有的用户请求设置token，统一值，对json格式的输出编码设置为utf8，对callbak回调参数以及json的数据通信严格的把控，jsonp请求与返回的值进行长度检查，对一些特殊字符尤其csrf攻击字符进行过滤，比如*#斜杠等等的字符,如果对代码不熟悉的话建议联系专业的网站安全公司或网站漏洞修复公司来处理解决。
转载请注明：http://www.aierlanlan.com/rzfs/8449.html
