は、同一生成元ポリシーは、同一生成元ポリシーは非常に強力な政策であると分けることはできません表示されます、私は仕事のプロジェクトのために</p> <p>を同一生成元ポリシーの研究をしていた仮想ネットワークテスト

Question

を突破することはできますか？

私はiframeをテストしましたが、CSS履歴URLハックは可能な方法で破ることができます。

可能性のあるテストに関するアイデアが、同じオリジンポリシーをテストする際に動作するかどうかにかかわらず実行できるかどうか疑問に思っていました。おそらく仮想ネットキット環境でDNSリビルドを行う方法に関する簡単なチュートリアルはありますか？

おかげ

すべての

Answer 1

まずあなたが同一生成元ポリシー（SOP）が必要と母校べきか、そしてBrowser Secuirty Handbookは、そのための素晴らしいリソースです。

これは、ウェブサイトがSOPによって与えられた保護を取り消す方法がたくさんあると言われています。 XSSは良い例です。これは別のドメインのデータにアクセスするために使用できるため、良い例はthe samy wormです。

クロスサイトリクエスト偽造攻撃はSOPによって防止されません。あなたはリクエストを送ることができますが、あなたはレスポンスを読むことはできません。この攻撃では、リクエストはユーザーのパスワードを変更するなどの副作用を引き起こしています。

Clickjackingは、イベント（マウスの移動イベント、クリックイベント、キーストロークイベント）が別のドメインに渡され、問題を引き起こす可能性がある、欠陥のもう1つの例です。

その後、人々は意図的にSOPをバイパスします。CORSとJSONPは良い例です。また、flashのcrossdomain.xmlファイルもあります。

最後に、少なくともSOP bypass vulnerabilities are incredibly common in browsers.です。