Rischio loopback localhost

Question

Rischio loopback localhost

#1 da (4 voti)

3

Per impostazione predefinita, l'accesso a [::1] e localhost non è consentito in Microsoft Edge. Un modo per aggirare questo problema è abilitarla nella pagina about:flags :

Su quell'etichetta dice anche (this might put your device at risk) .

Quali rischi mi espongo consentendo il loopback di localhost?

Penso che l'XSS non sarebbe un rischio a causa della stessa politica di origine (a meno che non stia eseguendo XSS su un sito Web in esecuzione sul mio server web locale, ma in tal caso l'autore dell'attacco ha già il controllo locale della mia dispositivo).

windows-10 microsoft-edge

posta rink.attendant.6 10.08.2015 - 09:20

fonte

1 risposta

Leggi altre domande sui tag windows-10 microsoft-edge

famosi attacchi XSS su JavaScript [chiuso] Le chiavi di sessione TLS sono memorizzate nella cache di un browser?

score 4 · Accepted Answer

Un rischio che può verificarsi qui è il servizio di richiesta di cross-site (CSRF). Supponiamo che tu abbia un'applicazione in esecuzione sul tuo localhost che presenta un server web a fini amministrativi. Se consenti localhost in un browser, quando visita un sito controllato dall'hacker, l'utente malintenzionato potrebbe richiedere un URL come

link

che, se valido per il sito in ascolto su quell'host, potrebbe causare un'azione involontaria.

Questo naturalmente richiede che un servizio vulnerabile sia in ascolto su quella porta, quindi non tutti sarebbero a rischio qui. Tuttavia, ciò che Microsoft probabilmente ha fatto è esaminare i trade-off di consentire o disabilitare questo accesso e ha deciso che per il caso di utilizzo della maggioranza c'è più rischio che beneficio, quindi hanno impostato questo valore predefinito, fornendo al contempo un work-around se necessario.