Может ли вредоносный сайт украсть мои куки с другого сайта?

Question

Насколько я понимаю, document.cookie получает ваши куки только для текущего сайта, на котором вы находитесь.Может ли вредоносный сайт обойти это, используя iFrame, изменив мой заголовок HTTP, отправив запрос на целевой сайт или каким-либо другим способом?

Answer 1

Один из способов сделать это - использовать межсайтовые скриптовые атаки. - краткий обзор того, как кража файлов cookie работает с XSS.

Answer 2

Перепривязка DNS может использоваться для обхода политики единого источника (SOP), используемой браузерами для предотвращения чтения одним сайтом других данных сайта, таких как файлы cookie, dom и т.д.1006 * - отличное видео, чтобы узнать, как оно работает и как его предотвратить.

Answer 3

Эти методы в целом не будут работать.Iframes запрещают программный доступ к таким свойствам, как содержимое страницы и файлы cookie, для страниц в другом домене.Аналогично, HTTP-запросы Javascript разрешены только к тому же домену, что и запрашивающая страница.