自动填写其他网站中的用户凭据

时间:2013-12-14 19:00:58

标签: joomla

我在“www.mysite.com”上有一个网址“www.anothersite.com/login”。当访问者点击URL时,它应该转到“www.anothersite.com/login"的登录页面,并且应该自动填写我在后端脚本中提供的”用户名“和”密码“字段。因此,用户只需单击“登录”按钮即可。 我尝试过使用cURL,但没有用。它只是重定向到“www.anothersite.com/login”页面,但没有填写凭据字段,甚至没有自动聚焦该字段。 或者如果有任何joomla插件来执行此操作,请发布它。

1 个答案:

答案 0 :(得分:1)

您所描述的是跨站点脚本,并且禁止

您无法在您无法控制的页面上运行脚本,因为您可能会窃取用户的用户名或密码或其他此类不良内容。所有现代浏览器都可以防止这种情况发生。

这是跨站脚本的最明显的应用。有关攻击者历来试图做这些事情的巧妙和微妙方式的更多信息,您应该查看OWASP

我能想到支持此功能的另一种方法是,如果网站支持在URL的查询字符串中传递这些参数,但这也是一个非常糟糕的主意。

如果用户希望自动填充内容,用户的浏览器可以存储此信息,并且您不应该在登录后来回传递密码。您当然不应该存储用户凭据,以便在用户登录后以原始形式检索它们。

Joomla默认情况下不会存储明文密码,这是有充分理由的。

如果外部站点支持委派,您可以使用OpenID或oauth。有很多关于如何在Stack Overflow上使用这些系统的例子,所以你应该阅读它们。