クロスドメインAJAXリクエストはブロックされていません：これはセキュリティ上の脆弱性ですか？

Question

私はここ3日間、XMLHttpRequestを使ってクロスドメインリクエストを作成する方法を研究しました。私がすでに使っているJSONPを使用するのが最良の選択肢です。

しかし、まだ答えが見つからないという質問が残っています。私は何百もの投稿（SOを含む）を読んでおり、誰も良い責任を負う回答はありません。誰かが助けてくれることを願っています

セキュリティの理由から、私はドメインexample.comからyyy.comにAjaxリクエストを行い、私が望むデータを得ることができないという多くのウェブサイトを読んでいます。それは非常に明確で、私はそれについて疑問を持っていません。しかし、私のlocalhostで以下のコードを実行すると問題が発生します（私のドメインは "localhost"なので、別のドメインのデータを要求することはできません）。

xhReq = new XMLHttpRequest(); 
xhReq.open("GET","http://domain.com.br?parameter",true); 
xhReq.send(null); 

Firebug Netタブを調べると、リクエストがブロックされていないことがわかりました。それは明らかに要求された。私は信じられませんでした。だから私はdomain.com.br/log.phpに私のドメインにヒットしたリクエストを記録できるファイルを作成しました。驚いたことに、私がローカルホストを撃っているすべての要求が私のdomain.com.brに当たっていました。応答を取得しようとしたとき、ChromeとFIrebugブラウザの元のポリシーが同じであるため、実際にはそれを取得できませんでした。しかし、私は本当にレスポンスを操作することができないにもかかわらず、リクエストが実際にウェブサーバーに当たったことに驚いていました。

もっと驚くべきことに、domain.com.br/log.phpが1MBのような巨大なレスポンスを生成した場合、私のファイヤーバグは、ブラウザがWebサーバーから1MBをすべてダウンロードしたことを示し、アクセスが拒否されました "。だから、なぜ同じ発信元ポリシーがそのデータの読み込みを禁止していれば、すべてのファイルをダウンロードするのですか？

最後に、私が驚いたのは、私が読んだすべてのウェブサイトと仕様では、ターゲットドメインがソースドメインと一致しない場合にリクエストがAjaxを使用してブロックされているということです。しかし、明らかに、私の実験では、応答データにアクセスすることはできませんが、要求は完了しています。

毎日何千ものビューを持つウェブサイトがこの3行のコードを実行し、不快なウェブサイトで巨大なDdos攻撃を引き起こすような大きなセキュリティホールが開かれる可能性があるということです。ブラウザはリクエストをブロックしないため、短い間隔で別のWebサイトの

私はこのスクリプトをIE 7,8,9とChrome最新版とFirefox最新版でテストしました。動作は同じです。要求は完了し、ブラウザはSOPを実行できない状態ですべての応答をダウンロードします。

スペックが間違っているのか、私が間違って理解しているのか、誰かが私に説明できることを願っています！

Answer 1

要求はとすることができ、サーバーはCORSに関係なく応答を生成することがあります。ただし、応答が表示されないことがあります。最近balpha wrote about this in his blog：

注同一生成元ポリシーは、必ずしもそれ自体の要求を防止していないこと - それだけでアクセス可能であることから応答を防ぐことができます。悪意あるサイトは、例えば、ブラウザをリダイレクトするか、フォームを送信するか、画像またはiframeを含めるだけです。これらのすべての場合、サイトにリクエストが送信されます。邪悪なサイトはただの応答を見ません。ある程度まで

、ブラウザは、サーバーの「アクセス制御 - 許可 - 起源」ヘッダかどうかを確認するためにサーバに要求をするためにを持っています。 CORSはブラウザによって完全に実装されています。誰かがあなたのサーバーに要求を出すためにコンソールアプリケーションを書くことができるだけなので、CORSに依頼して自分のサイトからのリクエストだけを確実に行うべきではありません。

Answer 2

シンプルなイメージファイルで同じ効果（DOS攻撃のような）を実現できますが、必ずしもXHRである必要はありません。別のウェブサイトの画像ファイルをリンクし、数百万個の画像をページに入れ、それをユーザーに表示してブームを起こします。