Межсайтовый скриптинг (XSS) и подделка межсайтовых запросов (CSRF)
XSS внедряет сторонний код со вторичного сайта для изменения функции первого, обычно тега SCRIPT.Доверие к коду, связанному с AJAX, достаточно высоко, вам нужно верить, что сторонний сайт всегда будет возвращать одну и ту же информацию и что ваш Javascript способен защитить от некорректного ввода.Довольно просто продемонстрировать, как удаленная библиотека Javascript переписывает целую страницу.
CSRF-атаки на сторонние AJAX будут распространены.Вы входите на сайт, и он пытается опубликовать информацию на сайтах, надеясь, что вы вошли в систему.
Самая большая и самая злая вещь, которую вы можете сделать, - это сочетание обоих.Через небезопасную текстовую запись вы XSS в некотором Javascript, который создает KeyListener, который буферизуется и затем отправляет через AJAX третьему лицу.Конечно, это технически возможно как есть, и вы можете использовать его для захвата логинов, возможно, и хотя мне еще предстоит это доказать ... Я подозреваю, что вы могли бы сделать это с помощью загрузки изображений и прохождения дополнительных нажатий клавиш в запросе.строка.Целевое изображение в стороннем домене - это сценарий обработки, который затем регистрирует.
Я подозреваю, что вы также сможете перехватывать сеансы таким образом, так как вы можете получить идентификаторы сеансов с удаленного компьютера для передачи.назад.
Конечно, кодер сможет защитить от них, это просто облегчает довольно большую сумку зла.