Porwanie Jsona z zapytaniem o Ajax Jquery

Question

Wczoraj przeczytałem kilka fajnych artykułów o tym, jak zapobiec Json Hijacking with Asp.Net MVC. Zasada jest taka: nigdy nie wysyłaj sensownych danych w formacie json na żądanie pobierania. Dzięki prostemu wyszukiwaniu w google, możesz łatwo nauczyć się definiować skrypt, który będzie używał do wyodrębniania danych z innego użycia za pomocą jego auth cookie.

Ale po przeczytaniu wszystkich tych artykułów, nie wiem, dlaczego nie można przeprowadzić Json Hijacking z żądaniem postu Ajax Jquery. Czytałem, że żądania Ajax podlegają tej samej zasadzie pochodzenia, ale JQuery ma właściwość, aby móc wykonywać żądania z różnych domen.

Czy w tym przypadku możliwe jest przechwycenie Json skryptem za pomocą $ .postJSON w zdarzeniu gotowym do pracy z dokumentem? Jeśli tak lub nie, czy mógłbyś wyjaśnić mi dokładnie, dlaczego?

Oto prosty bukiet kod do tego, co mam na myśli:

$.postJSON = function (url, data, callback) { 
    $.post(url, data, callback, "json"); 
}; 

<script> 
    $(function(){ 
     $.postJSON("/VulnerableSite/ControllerName/ActionName", 
     { some data parameters }, function() { 
     // Code here to send to the bad guy the data of the hacked user. 
     } 
    }); 
</script> 

Dziękuję bardzo.

Answer 1

, ale JQuery ma właściwość, aby móc wykonywać żądania z wielu domen.

Tak, ale działa tylko z żądaniami GET. Nie można wykonywać wywołań AJAX między domenami za pomocą żądań POST. Również większość współczesnych przeglądarek ma już możliwość zastąpienia metody __defineSetter__. Pomysł tego ataku polega na umieszczeniu na stronie internetowej tagu <script> ze złośliwej strony. Ale przeglądarka wysyła żądanie GET w celu pobrania tego skryptu, a nie POST. Dlatego bezpieczniej jest używać POST do przesyłania poufnych informacji za pomocą JSON.

Ostatnie pytanie

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.

 Powiązane problemy

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.