On 12/13/2010 05:32 PM, scurippio@??? wrote:
> On Mon, 13 Dec 2010 16:47:36 +0100, Joe Oblivian
> <0blivian@???> wrote:
>
>> No. Tecnicamente quello che hai appena detto e' non fattibile:
>> per le richieste XmlHttpRequest c'e' la SOP ;)
>
> no??? perchè scusa??? con la setTimeout() ongi tot millisecondi fai
> partire una richiesta ajax (XMLHTTPRequest :)§ ) verso il sito vittima,
> GET POST ,REQUEST in generale ,
> non capisco il "c'e' la SOP",
same origin policy
non puoi fare richieste XMLHTTPRequest verso altri domini
che non siano quello visualizzato perche' aprirebbe un bel
problema di sicurezza (ad esempio potrei mandare delle richieste
ad un tot di siti su cui ipotizzo tu sia autenticato, le richieste
in questione includerebbero i cookie dell'utente nel caso in cui
abbia una sessione aperta verso quell'altro dominio, e questo mi
permetterebbe di utilizzare la sessione dell'utente per fare le
peggio cose, perche' il server vedrebbe quelle richieste arrivare
direttamente dall'utente, non sarebbe neanche un attacco blind perche'
potrei avere accesso alle risposte, per esempio, oltre che fare
cancella utente, o cambia password, potrei fare, fammi vedere
la lista degli amici)
http://stackoverflow.com/questions/324697/can-i-make-an-xmlhttprequest-to-another-domain
