Proteger las llamadas ajax de jquery desde una página no segura

Navega tus respuestas
7

No pude encontrar una respuesta clara, pero si tengo la siguiente situación: Navego a una página, digamos enlace

Ahora uso un formulario en esta página para hacer una devolución de datos con las funciones ajax de jquery a la siguiente URL: enlace (aspx puede ser cualquier cosa, mvc, webforms, php, ruby, etc.).

¿Esto es seguro o no? Me doy cuenta de que no toda la sesión es segura.

¿O es seguro, pero se quejarán los navegadores? ¿Será más seguro utilizar un dominio completamente diferente? enlace

    
pregunta YesMan85 02.07.2011 - 22:44
fuente

3 respuestas

9

No, no es seguro y usar otro dominio no ayudará.

Un atacante puede manipular el código html / javascript en la página http para cambiar el destino de la llamada ajax a su propio servidor. O incluso mejor, agrega una segunda llamada.

    
respondido por el Hendrik Brummermann 02.07.2011 - 23:23
fuente
5

Una vez que su navegador visite el dominio www.example.com y descargue index.html en su navegador, todo el código HTML se almacena en su computadora. Dado que cualquier cosa almacenada en el lado del cliente puede ser manipulada, esto se considera inseguro y no se puede confiar en los datos que el cliente está devolviendo desde el script que supuestamente www.example.com ha proporcionado al usuario.

Esto significa que login.aspx tiene que tratar cada bit de datos que se envían como datos sucios y limpiarlos.

El cambio de dominio no hace mucho, y el navegador no se queja de que JavaScript está activando un formulario en un dominio diferente.

    
respondido por el Chris Dale 03.07.2011 - 13:53
fuente
1

Ataques como 'SSL-Stripping' son un claro ejemplo de cómo podrían explotarse tales enfoques. Este es un diseño vulnerable.

Una herramienta simple basada en python por Moxie para explotar dicho diseño: enlace

    
respondido por el AbhishekKr 21.10.2011 - 11:41
fuente

Lea otras preguntas en las etiquetas

¿Cómo elegir / comprometer entre la protección de datos y la recuperación del dispositivo? ¿Por qué el uso de la inyección de SQL para extraer contraseñas o hashes de contraseña de una base de datos de inicio de sesión (que nunca debería divulgarlas legítimamente) es incluso posible?