Cross-Site XMLHttpRequest

[ivanhoe]

ne ne, sad mesas babe i zabe, ne govorim o cross-frame scriptingu, to treba za bude zabranjeno jer realno predstavlja pretnju po sigurnost, jasna stvar.

Pricam o ucitavanju sadrzaja sa drugog domena, jer mozes da ucitas javascript sa koje god zelis externe lokacije (stavis src="google.com/neki_skript.js" i to ce se ucitati), zasto onda ne moze XHR da radi isto to po defaultu? Citao sam dosta na tu temu, ali nisam nasao objasnjenje koji su konkretni napadi moguci ako se dozvoli cross-domain ajax ? Takodje zasto bi slanje zahteva kroz proxy bilo sigurnije od direktnog slanja zaheva na taj domen? Svi tekstovi na tu temu su ili genericki: "to je opasno, ako posumnjas u to goreces u paklu", ili su objasnjenja tipa: "mozda to uzme programer koji nema pojma, pa uradi nesto glupo sa tim (kao da to generalno ne vazi uvek)"

[cvele]

Kapiram odakle ti zabuna, ali pazi to su sustinski iste stvari... mislim na cross domain scripting i cross domain ajax. Isto kao sto mozes ucitati neku sliku sa drugog domena, mozes i javascript fajl, to nije zabranjeno. Ali nemozes, primera radi, upravljati DOMom drugog domena sa javascriptom sa svog domena, kao sto nemozes uraditi XMLHttpRequest koji je sustinski samo js objekat i nista drugo.

Cross domain ajax je ustvari fraza koja je evoluirala od cross domain scripting-a, zato sto za njime postoji legitimna potreba za razligu od parenta

[cvele]

sorry, zaboravih da dodam. cross frame je uzet kao primer jer se tako najlakse demonstrira sta se podrazumeva sa cross domain scriptingom.

kao primer uzmi sledece, ucitaj frame sa svog domena... i pristupices mu normalno ali ucitaj google u frame i neces moci da mu pristupas.

[akubra]

Originalno napisao ivanhoe

Pricam o ucitavanju sadrzaja sa drugog domena, jer mozes da ucitas javascript sa koje god zelis externe lokacije (stavis src="google.com/neki_skript.js" i to ce se ucitati), zasto onda ne moze XHR da radi isto to po defaultu? Citao sam dosta na tu temu, ali nisam nasao objasnjenje koji su konkretni napadi moguci ako se dozvoli cross-domain ajax ?

Jedan konkretan primer. Preko XMLHttpRequest-a, sa neke svoje strane, posaljes zahtev (obican HEAD je dovoljan) na neki drugi sajt, koji ima autentikaciju i za to koristi kukije, i onda sa getAllResponseHeaders() pokupis headere koje vraca taj server. Tu se nadje svasta zanimljivo, sesisije, korisnicka imena, lozinke.