像“http://sharethis.com/”这样的小工具如何制作似乎是XSS的电话

Question

像这样的工具如何能够将ajax样式调用回中心站点？基本上他们会给你一个“标记放在你的网站上。所以在这个小部件中，你有能力要求发送一封电子邮件给你当前的页面。我认为这是一个ajax样式回叫分享这个发送电子邮件的人。但他们怎么能在你的服务器上没有代理服务器而没有浏览器阻止它作为XSS漏洞呢？

非常感谢您的帮助，谢谢您的帮助。我假设使用Flickr API会带来同样的挑战吗？

标题链接：http://sharethis.com/

Answer 1

他们会为您提供一个包含在您网站中的脚本。此脚本可以完全访问DOM和cookie。为了让它回调到他们的网站，他们使用了一种名为JSONP的技术。您包含的脚本在查询字符串中添加了另一个带参数的脚本。然后服务器返回JSON（只是JavaScript），并提取数据。

如果您正在构建mashup，那么您必须相信这些小部件不会像窃取您的cookie那样做恶意攻击。在IE 8中将有更好的安全XSS支持。

Answer 2

您甚至不需要为此使用JSON。

您可以使用脚本标记从任何域检索javascript代码，因此很多这些小部件只是创建一个脚本节点，响应的格式如下：

someFunction("Callback Data");

someFunction已经是原始窗口小部件源中的现有函数，并将数据转储到您的DOM中。

Answer 3

答案是浏览器由于某种原因，只将XmlHttpRequests阻止到原始服务器以外的服务器。您可以自由地使用＆lt; SCRIPT＆gt; -tags将SRC指向任何地方，并且此类脚本标签当然可以动态插入到您的DOM中。