AJAX 安全

---

异步 Javascript 和 XML (AJAX) 是用于开发 Web 应用程序以提供丰富的用户体验的最新技术之一。由于它是一项新技术，因此还有许多安全问题尚未完全确定，下面是 AJAX 中的几个安全问题。

• 由于需要保护的输入越多，攻击面就越大。

• 它还公开了应用程序的内部功能。

• 无法保护身份验证信息和会话。

• 客户端和服务器端之间的界限非常窄，因此存在犯安全错误的可能性。

例子

这是 AJAX 安全性的示例 -

2006 年，蠕虫利用 XSS 和 AJAX 感染了雅虎邮件服务，该服务利用了雅虎邮件 onload 事件处理中的漏洞。当打开受感染的电子邮件时，蠕虫会执行 JavaScript，向受感染用户的所有雅虎联系人发送一份副本。

动手

步骤 1 - 我们需要尝试使用 XML 注入向您允许的奖励集中添加更多奖励。下面是该场景的快照。

步骤 2 - 确保我们使用 Burp Suite 拦截请求和响应。设置相同如下图所示。

步骤 3 - 输入场景中给出的帐号。我们将能够获得我们有资格获得的所有奖励的列表。我们有资格获得 5 项奖励中的 3 项。

步骤 4 - 现在让我们单击“提交”并查看响应 XML 中得到的内容。如下所示，我们有资格获得的三个奖励以 XML 形式传递给我们。

步骤 5 - 现在让我们编辑这些 XML 并添加其他两个奖励。

步骤 6 - 现在所有奖励将显示给用户供他们选择。选择我们添加的并单击“提交”。

步骤 7 - 将显示以下消息：“* 恭喜。您已成功完成本课程。”

预防机制

客户端 -

• 使用 .innerText 而不是 .innerHtml。
• 不要使用评估。
• 不要依赖客户端逻辑来确保安全。
• 避免编写序列化代码。
• 避免动态构建 XML。
• 切勿将秘密传输给客户。
• 不要在客户端代码中执行加密。
• 不要在客户端执行影响安全的逻辑。

服务器端 -

• 使用 CSRF 保护。
• 避免编写序列化代码。
• 用户可以直接调用服务。
• 避免手动构建 XML，而使用框架。
• 避免手动构建 JSON，而使用现有框架。