AJAX Security

Asynchronous Javascript and XML (AJAX) is one of the recent technology used to develope web apppcation inorder to give arichuser experiences. 由于这是一种新技术,许多安全问题尚待确定,下文是非洲复兴开发银行的几个安全问题。

攻击面越多,就越有投入。

它还暴露了申请的内部功能。

未能保护认证信息和会议。

客户与服务器之间的界限非常狭窄,因此有可能犯安全错误。

Example

AJAX Security -

2006年,一家协会使用XSS和AJAX,利用雅虎邮局在载荷活动中的脆弱性,感染了hoo。 当一个受感染的电子邮件开放时,虫药店铺设了 Java本,向被感染的使用者的所有雅虎人发送了副本。

Hands ON

我们需要努力利用XML注入,对你的奖励办法给予更多的奖励。 下面是假设情景的概要。

Step 2——确保我们利用Burp Suite拦截申请和答复。 情况如下。

计入假设情景中的账号。 我们将能够获得一份我们有资格获得的所有奖励清单。 我们有资格获得5项奖励中的3项。

Step 4——现在,让我们点击分机,看我们在XML的答复中的内容。 如下文所示,我们有资格得到的三项奖励,均作为“XML”发给我们。

现在,让我们ed开这些十ML,并增加另外两项奖励。

现在,所有奖励都将展示给用户,供他们选择。 选择我们增加的内容,并点击Submit。

以下信息似乎是说:“* 祝贺。 你成功地完成了这一教训。

Preventive Mechanisms

客户方面

Use .innerText instead of .innerHtml.

Do not use eval.

Do not rely on cpent logic for security.

Avoid writing seriapzation code.

Avoid building XML dynamically.

Never transmit secrets to the cpent.

Do not perform encryption in cpent side code.

Do not perform security impacting logic on cpent side.

服务器方面

Use CSRF protection.

Avoid writing seriapzation code.

Services can be called by users directly.

Avoid building XML by hand, use the framework.

Avoid building JSON by hand, use an existing framework.