Preguntas con etiqueta 'same-origin-policy'

preguntas con etiqueta
1
respuesta

¿Por qué se permiten las solicitudes POST entre dominios? [duplicar]

Entiendo que la mejor práctica es usar tokens para evitar el CSRF, pero ¿por qué los navegadores permiten las solicitudes POST entre sitios en primer lugar? Parece que dar a las personas que no son de confianza acceso de escritura sin restricc...
hecha 11.06.2018 - 05:50
3
respuestas

CSRF no funciona en el proxy CORS

Estoy consumiendo los servicios OData de JQuery y me estoy ejecutando en un escenario típico de la misma política de origen. No tengo control sobre el servidor y, por lo tanto, no puedo implementar CORS, por lo que lo único que puedo hacer es us...
hecha 19.05.2017 - 21:19
0
respuestas

En la práctica, ¿se utilizan cookies de terceros en la autenticación? Si están bloqueados, ¿qué es el UX?

Estoy investigando el flujo de autenticación en el caso de que las cookies de terceros se utilicen para autenticar un sitio web y estén bloqueadas por la política, el proxy o la configuración del navegador. Está claro que CORS y varios compl...
hecha 23.01.2017 - 00:12
1
respuesta

¿Es posible obtener una fuente flash después de una redirección o un elemento dentro de una etiqueta de incrustación / objeto / iframe (dominio cruzado)?

La URL example.com/auth redirigirá automáticamente al usuario (HTTP 302) a example.com/signed_in.SWF ? token = SENSITIVE. ¿Es posible que un atacante robe el token, usando javascript o flash, en el siguiente ejemplo? ¿Cómo? <!DOCTYPE htm...
hecha 28.08.2015 - 22:57
3
respuestas

¿Por qué no se puede omitir el SOP utilizando el atributo "src" en la etiqueta de script?

No estoy familiarizado con Javascript, pero quiero saber qué es lo que no se puede hacer en estos pasos para omitir el SOP y extraer datos confidenciales: establece la etiqueta <script src="https://facebook.com/messages"></script...
hecha 29.03.2018 - 19:18
1
respuesta

¿Es CORS y CSRF-tokens solo para las solicitudes POST y GET? [cerrado]

Tengo las siguientes preguntas con respecto a CSRF, SOP y CORS. ¿Los tokens CSRF solo protegen el envío de formularios con los métodos POST o GET? ¿Es esto solo una "práctica común" (en relación con el hecho de que solo los envíos de formul...
hecha 14.05.2018 - 11:43
1
respuesta

Política de origen y tokens CSRF

Si confiamos en los navegadores de que cumplen con la Política del mismo origen sin errores, ¿seguiríamos necesitando los tokens CSRF? Suponiendo que el servidor no tiene CORS habilitado: Por lo que sé, no se nos permite realizar solicitudes...
hecha 20.03.2017 - 09:20
2
respuestas

Configuración de Access-Control-Allow-Origin: * cuando los identificadores de sesión se insertan en los encabezados HTTP

¿Se considera seguro que una aplicación establezca un encabezado access-control-allow-origin: * si durante el uso normal de la aplicación, las credenciales del cliente se insertan en los encabezados mediante el código JS? Por ejemplo: G...
hecha 11.04.2017 - 10:20
1
respuesta

Impedir la escritura de origen cruzado de javascript

Supongamos que un atacante logra inyectar este script en una página de inicio de sesión: const form = document.getElementsByTagName('form')[0]; form.addEventListener('submit', stealCredentials); function stealCredentials() { const login...
hecha 21.12.2018 - 15:05
1
respuesta

¿Se pueden enviar los encabezados de origen con las variables de obtención o la url completa?

Una aplicación en la que estoy trabajando responde a un encabezado de origen de comodín estableciendo Access-Control-Allow-Origin en subdomain.app.com si termina con .app.com . Sin embargo, si agrego .app.com a una...
hecha 06.12.2017 - 02:42