浏览器的同源策略

同源策略

• 同源： "协议+域名+端口"三者相同

  • 两个不同的域名指向同一个 ip 地址，也非同源

• 同源策略 / SOP（Same origin policy） ：是一种约定，由 Netscape 公司 1995 年引入浏览器，它是浏览器最核心也最基本的安全功能，现在所有支持 JavaScript 的浏览器都会使用这个策略。

• 在同源策略下，web浏览器允许第一个页面的脚本访问第二个页面里的数据。这个策略可以阻止一个页面上的恶意脚本通过页面的DOM对象获得访问另一个页面上敏感信息的权限，确保一个应用中的资源只能被本应用的资源访问。

• 为什么：如果缺少了同源策略，浏览器很容易受到 XSS、 CSFR 等攻击。

• XSS（Cross-Site Scripting，跨域脚本攻击）

  是最常见的 Web 攻击，是一种代码注入攻击。攻击者通过在目标网站上注入恶意脚本，使之在用户的浏览器上运行。利用这些恶意脚本，攻击者可获取用户的敏感信息如 Cookie、SessionID 等，进而危害数据安全。

  • 本质：

    • 恶意代码未经过滤，与网站正常的代码混在一起
    • 浏览器无法分辨哪些脚本是可信的，导致恶意脚本被执行

• CSFR（Cross-Site Request Forgery，跨站请求伪造攻击）

  是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。可以简单的理解为：攻击者可以盗用你的登陆信息，以你的身份模拟发送各种请求对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等。

  • 原理

    1、用户C打开浏览器，访问受信任网站A，输入用户名和密码请求登录网站A；

    2、在用户信息通过验证后，网站A产生Cookie信息并返回给浏览器，此时用户登录网站A成功，可以正常发送请求到网站A；

    3、用户未退出网站A之前，在同一浏览器中，打开一个TAB页访问网站B；

    4、网站B接收到用户请求后，返回一些攻击性代码，并发出一个请求要求访问第三方站点A；

    5、浏览器在接收到这些攻击性代码后，根据网站B的请求，在用户不知情的情况下携带Cookie信息，向网站A发出请求。网站A并不知道该请求其实是由B发起的，所以会根据用户C的Cookie信息以C的权限处理该请求，导致来自网站B的恶意代码被执行。

  • CSRF 攻击的三个条件 :

    1 . 用户已经登录了站点 A，并在本地记录了cookie

    2 . 在用户没有登出站点 A 的情况下（也就是 cookie 生效的情况下），访问了恶意攻击者提供的引诱危险站点B（B站点要求访问站点A）

    3 . 站点 A 没有做任何 CSRF 防御

判断是否满足同源策略

下表给出了与 URL http://store.company.com/dir/page.html 的源进行对比的示例：

URL	结果	原因
http://store.company.com/dir2/other.html	同源	只有路径不同
http://store.company.com/dir/inner/another.html	同源	只有路径不同
https://store.company.com/secure.html	失败	协议不同
http://store.company.com:81/dir/etc.html	失败	端口不同（http:// 默认端口是 80）
http://news.company.com/dir/other.html	失败	主机不同（域名不同）