IP分流模式漏洞


基于IP的分流模式存在巨大的安全隐患:

举个例子,你要访问的网站B想收集你的真实IP;你点击了它的链接,它返回给你一个html页面,到目前位置一切还是正常的,因为他看到的是你的正向代理的IP,不是你的真实IP;

但是它给你的html代码里有跨域请求的代码,通俗的说,这段代码请求的不是网站B了,而是另一个不相关的网站A。

这个网站A不在你的分流规则内,所以你的本机直连了过去,然后A将IP甚至是邮编等信息传递回来。

B网站就这样轻而易举搞到了你的隐私信息,

因为A提供了公网的没有鉴权的API接口,甚至支持json with padding方式请求,所以不会出现跨域错误。


样例:创建一个html文件,输入以下内容,打开html,就可以看到你的家庭IP。

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>Document</title>

    <h1>Test</h1>
    <script>  
        function getinformation(data) {        
            var ip = data.ip;        
            window.alert('IP地址: ' + ip)
        }        
    </script>
    <script src="https://vv.video.qq.com/checktime?otype=json&callback=getinformation"></script>
    
</head>
<body>
    
</body>
</html>

分享你的喜爱

一条评论

  1. 不分流就没有这个漏洞么?浏览器的安全设置会阻止脚本执行么?脚本访问的网址怎么知道是否在分流规则之外呢?

留下评论

您的电子邮箱地址不会被公开。 必填项已用 * 标注