Qual è il valore di un bloccante XHR?

1

La mia domanda non è specifica per uMatrix, ma è inquadrata da quel PoV:

informazioni di base: uMatrix è un'estensione del browser la cui interfaccia principale offre una griglia rettangolare di permessi (allow / inherit / block), con domini e sottodomini lungo il lato e le seguenti opzioni nella parte superiore: Cookie, CSS, Immagini, Media (a / v & plugins), Script, XHR (incluso Fetch & WebSockets), Cornici, Altro.

Diciamo che sto visitando il sito web example.com , che purtroppo chiama una varietà di URL da maliciousthirdparty.net .

Se il mio browser blocca script, contenuti multimediali e amp; fotogrammi da maliciousthirdparty.net , ma consente XHR, questo permesso consente di far accadere qualcosa? XHR può essere chiamato da HTML statico, CSS, cookie o immagini?

Al contrario, se il mio browser blocca XHR, ma consente script o plug-in, impedisce a maliciousthirdparty.net di ottenere risultati che non potrebbero essere già raggiunti con un altro metodo (ad esempio createElement ( 'script') )?

In altre parole, qual è un esempio in cui un'impostazione di autorizzazione XHR separata potrebbe essere importante?

    
posta Foo Bar 26.01.2018 - 21:44
fonte

1 risposta

1

Potrebbe essere possibile per il JavaScript di example.com effettuare richieste XHR a maliciousthirdparty.net . Per impostazione predefinita, questo è bloccato a causa della politica della stessa origine , ma maliciousthirdparty.net può inviare CORS intestazioni per consentire le richieste.

Se blocchi le richieste XHR al dominio mentre permetti il caricamento degli script da esso, potrebbe rendere più difficile l'esfiltrazione dei dati da parte di uno script dannoso. Ciò potrebbe essere utile, ad esempio, se non ti fidi della CDN che ospita una libreria JavaScript che example.com richiede per funzionare correttamente.

    
risposta data 26.01.2018 - 23:38
fonte

Leggi altre domande sui tag