是否可以违反相同的原始策略虚拟网络测试

Question

我正在研究工作项目的同源政策

看来同源政策是非常强大的政策，不能被打破？

我已经测试了iframe，CSS历史记录url hack作为破解它的可能方法。

我想知道是否有任何关于可能的测试的想法我可以执行它们是否可以用于测试相同的原始策略。是否有关于如何在虚拟网络环境中进行DNS重新绑定的简单教程？

由于

Answer 1

首先，您应该了解同源策略（SOP）所需要的内容，Browser Secuirty Handbook是一个很好的资源。

话虽如此，网站有很多方法可以撤销SOP给予他们的保护。 XSS是一个很好的例子，因为它可以用来访问另一个域上的数据，一个很好的例子是the samy worm。

SOP不会阻止跨站点请求伪造攻击。我们的想法是您可以发送请求，但您无法阅读响应。在此攻击中，请求会导致副作用，例如更改用户密码。

Clickjacking是另一个漏洞示例，其中事件（鼠标移动事件，点击事件，击键事件）被传递到另一个域并可能导致问题。

然后人们故意绕过SOP，CORS和JSONP就是一个很好的例子。还有flash的crossdomain.xml文件。

最后但并非最不重要的是， SOP bypass vulnerabilities are incredibly common in browsers. 。