开发案例 ｗｉｎｄｏｗ．ａｄｄＥｖｅｎｔＬｉｓｔｅｎｅｒ（”ｍｅｓｓａｇｅ”，ｍＨａｎｄｌｅ，ｆａｌｓｅ）； 跨站脚本攻击（ＸＳＳ）ｖｏ］是指攻击者在页面里插入 ｝ｅｌｓｅ ｉｆ（ｗｉｎｄｏｗ．ａｔｔａｃｈＥｖｅｎｔ）ｆ对类似ＩＥ内核的浏览器 添加监听ｍｅｓｓａｇｅ事件．如果有消息事件触发则执行ｍｉｌａｎ． ｄｉｅ 恶意代码。当接收窗口输出消息时，这段代码会被浏览 器执行．从而达到恶意攻击的目的 ＸＳＳ攻击主要有两 类攻击来源。一是利用程序自身漏洞构造跨站语句 二 ｗｉｎｄｏｗ．ａｔｔａｃｈＥｖｅｎｔ（＂ｏｎｍｅｓｓａｇｅ ，ｍＨａｎｄｌｅ）； 是攻击者将自己构造的攻击代码发放给非本域的Ｗｅｂ 页进而达到攻击的目的 ｌ ３ 安全性分析 通过ｐｏｓｔＭｅｓｓａｇｅ（）实现跨域通信和资源共享，是 建立在破坏同源策略重要的安全机制基础上的．扩大 了Ｗｅｂ应用的安全边界范围．加大了被攻击的可能 例如发送方发来： ｐｏｓｔＭｅｓｓａｇｅ（”＜ｉｍｇ ｓｒｃ＝＂ｓｒｃ ｏｎｅｒｒｏｒ＝＂ａｌｅｒｔ（ｅｒｒｏｒ）； ＞” ”ｈｔｔｐ：／／１２７．０．０．１：８０８０”）；／／ｓｒｃ是个虚假的地址 接收方经过消息来源验证后．使用如下代码处理 接收到的消息： ＤｆｉｎｔＤｉｖ．ｉｎｎｅｒＨＴＭＬ＝”接收到的消息是：”＋ｅ．ｄａｔａ； 则当接收页执行时．可导致接收窗口出ＸＳＳ。解决 性 ＨＴＭＬ５开放跨域通信的前提是基于服务器是值得 信任的．如若服务器的安全不能得到保障．则可能造成 严重的数据泄漏嘲等安全性问题。所以，在开发具有跨 域通信功能的Ｗｅｂ应用程序时．开发人员必须仔细检 查以确保信息来源于他们信任的网站，而不是恶意的 数据。 （１）发送方式 此种类型的方法就是将ｉｎｎｅｒＨＴＭＬ替换成ｔｅｘｔＣｏｎ． ｔｅｎｔ，将接收到的消息内容输出而不是作为代码执行。 ４ 结语 浏览器的同源策略保证了Ｗｅｂ应用系统数据的 在ｐｏｓｔＭｅｓｓａｇｅ（ｍｅｓｓａｇｅ，ｔａｒｇｅｔＯｒｉｇｉｎ）方法来说， ｔａｒｇｅｔＯｒｉｇｉｎ用于指定接收消息的目标域．可以是通配 安全访问．它要求Ｗｅｂ页之间的访问必须保证传输协 议、主机域、端口三者均相同，严格的约束条件使得 Ｗｅｂ应用系统失去了灵活性 ＨＴＭＩ＿５的ｐｏｓｔＭｅｓｓａｇｅ 符［９１” 用于表示任意的接收方，这将会导致未知的消 息被陌生的窗口接收．安全性的做法是明确指定接收 域。如本例中的ｐｏｓｔＭｅｓｓａｇｅ（ｍＤａｔａ，＂ｈｔｔｐ：／／１２７．０．０．１： ８０８０ ）方法指定只能被ｈｔｔｐ：／／１２７．０．０．１：８０８０下的文件 ＡＰＩ允许两个窗口文档或不同ｉｆｒａｍｅ之间的数据跨域 发送消息．为不同Ｗｅｂ页和ｉｆｒａｍｅ之间的跨域通信搭 建了一架桥梁．有效解决了客户端跨域通信数据同步 接收．保证了消息发送方的通信安全。 （２）接收方未经验证 的问题。破坏了同源策略，势必会给浏览器带来相应的 安全威胁．就ｐｏｓｔＭｅｓｓａｇｅ实现的跨域通信问题而言． 主要有发送消息的方式、接收方消息来源未经验证及 跨域脚本攻击等３种安全问题．结合具体的应用场景 设定安全的发放方式．严格过滤消息来源堵截攻击漏 洞．则会建立一套安全高效的跨域通信机制．为客户端 对于接收到的消息．Ｗｅｂ应用程序要附加对其来 源验证的功能．可以有效防止消息来自未经授权的发 送者。可以在接收端输出消息时添加： ｉｆ（ｅ．ｏｒｉｇｉｎ＝＝”ｈｔｔｐ：／／１２７．０．０．１”）ｆ，／判断消息来源是否是 ｈｔｔｐ：／／１２７．０．０．１ ／／ｄｏ ｓｏｍｅｔｈｉｎｇ 数据同步及资源共享提供安全的运行环境 文中实例 均在Ｗｉｎ８＋Ｆｉｒｅｆｏｘ３７．０．１下调试通过 ｝ （３）跨站脚本攻击 参考文献： 【１］￣０１耀钦．基于ＨＴＭＬ５的Ｗｅｂ离线应用研究与探讨［Ｊ］．河南工程学院学报（自然科学版），２０１５，２７（１）：７７～８Ｏ 【２］￣０１耀钦．利用ＨＴＭＩ．５拖放技术实现多文件异步上传［Ｊ］．四川理工学院学报（自然科学版），２０１５，２８（１）：ｌ７—２９＋３０ ［３】李潇宇，张玉清，刘奇旭，郑晨．一种基于ＨＴＭＬ５的安全跨文档消息传递方案［Ｊ］．中国科学院研究生院学报，２０１３，３０（１）：１２４— １３０ ［４】何良，方勇，方畴，蒲伟．浏览器跨域通信安全技术研究［Ｊ】．信息安全与通信保密，２０１３（４）：５９—６１ 壬曰 计笛加 ｏｎ１ ｎ 硒０ 【５】陈腊梅，李为，程振林，张晓力．ＭＡＸ跨域访问的研究与应用［Ｊ１．计算机工程与设计，２００８，２９（２２）：５６８０ ５６８４ ［６］张涛，黄强，毛磊雅，高兴．一个基于ＪＳＯＮ的对象序列化算法［Ｊ］．计算机工程与应用，２００７，４３（１５）：９８～１００＋１３３ ［７］李志秀，张军，陈光，杨丽红．ＪＱｕｅｒｙ Ａ『ＡＸ异步处理ＪＳＯＮ数据在项目管理系统中的应用ｆＪ１．云南大学学报（自然科学版）， ２０１１，３３（Ｓ２）：２４７￣２５０ 【８］Ｔ辉，高松，毛南．从数据泄漏事件看商业银行信息安全保密『Ｊ］．计算机安全，２０１２（３）：５３ ５６ ［９】强继明，谢飞，高隽，胡学钢，吴信东．带任意长度通配符的模式匹配『Ｊ１．自动化学报，２０１４，４０（１１）：２４９９ ２５１ｌ 【１０】龚小刚，王红凯，夏威，吴科庆．跨站脚本攻击（ＸＳＳ）的形成与利用研究『Ｊ］．信息安全与技术，２０１５（３）：５２～５５ 作者简介： 刘耀钦（１９８０一），男，讲师，硕士，研究方向为信息安全及Ｗｅｂ应用 收稿日期：２０１５—０５—０７ 修稿日期：２０１５—０５～２０ Ｒｅｓｅａｒｃｈ ｏｎ Ｃｌｉｅｎｔ Ｄａｔａ ＳｙｎｃｈｒＯｎｉｚａｔｉＯｎ Ｂａｓｅｄ ｏｎ ＨＴＭＬ５ Ｃｒｏｓｓ Ｄｏｍａｉｎ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ ＬＩＵ Ｙａｏ——ｑｉｎ （Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｙｕｎｙａｎｇ Ｔｅａｃｈｅｒｓ Ｃｏｌｌｅｇｅ，Ｓｈｉｙａｎ ４４２７００） ＡｂＳｔｒａｃｔ： Ｈｏｍｏｌｏｇｏｕｓ ｓｔｒａｔｅｇｙ ｉｓ ｔｈｅ ｃｏｒｅ ｓｔｒａｔｅｇｙ ｏｆ ｄａｔａ ｓｅｃｕｒｉｔｙ ａｃｃｅｓｓ ｉｎ ｔｈｅ ｂｒｏｗｓｅｒ．ｉｓ ａｎ ｉｍｐｏｒｔａｎｔ ｇｕａｒａｎｔｅｅ ｆｏｒ ｂｕｉｌｄｉｎｇ ａ ｓｅｃｕｒｅ Ｗｅｂ ａｐ ｐｌｉｃａｔｉｏｎ ｅｎｖｉｒｏｎｍｅｎｔ，ｉｔ ｉｓ ａｌｓｏ ｂｅｃａｕｓｅ ｏｆ ｔｈｅ ｓａｍｅ ｏｒｉｇｉｎ ｐｏｌｉｃｙ，ｔｈｅ ｃｒｏｓｓ ｄｏｍａｉｎ ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｗｅｂ ａｐｐｌｉｃａｔｉｏｎ ｓｙｓｔｅｍ ｉｓ ｄｉｆｆｉｃｕｌｔ ｔｏ ｓｏｌｖｅ．Ｔｏ ｅｓｔａｂｌｉｓｈ ａ ｓｅｔ ｏｆ ｄａｔａ ｔｏ ｔｈｅ ｃｌｉｅｎｔ ｏｒ ｃｒｏｓｓ ｄｏｍａｉｎ ｃｏｍｍｕｎｉｆｃａｔｉｏｎ ｔｅｃｈｎｏｌｏｇｙ ｂａｓｅｄ ｏｎ ｔｈｅ ｓｙｎｃｈｒｏｎｉｚａｔｉｏｎ ｓｙｓｔｅｍ ｔｏ ｂｒｅａｋ ｔｈｅ ｌｉｍｉｔ ｏｆ ＨＴＭＬ５ ｓｅｑｕｅｎｃｅ，ｐｏｓｔ Ｍｅｓｓａｇｅ ＡＰＩ，ｔｏ ｄｏ ｔｈｅ ａｎａｌｙｓｉｓ ｏｎ ｔｈｅ ｓｅｃｕｒｉｔｙ ｔｈｒｅａｔｓ ｔｈａｔ ｍａｙ ａｐｐｅａｒ ｉｎ ｔｈｅ ｐｒｏｃｅｓｓ ｏｆ ｉｍｐｌｅｍｅｎｔａｔｉｏｎ ａｎｄ ｐｕｔｓ ｆｏｒｗａｒｄ ｔｈｅ ｃｏｒｒｅｓｐｏｎｄｉｎｇ ｓｏｌｕｔｉｏｎｓ．Ｗｉｔｈ ｍｏｒｅ ａｎｄ ｍｏｒｅ ｓｔａｂｌｅ ａｎｄ ｔｈｅ ａｐｐｌｉｃａｔｉｏｎ ｏｆ ＨＴＭＬ５ ｂｒｏｗｓｅｒ ｃｏｍｐａｔｉｂｉｌｉｔｙ ｇｒａｄｕａｌｌｙ ｍａｔｕｒｅ，ｃｒｏｓｓ ｄｏｍａｉｎ ｃｏｍｍｕｎｉｃａｔｉｏｎ ｂｒｉｎｇｓ ｇｏｏｄ ｅｘｐｅｒｉｅｎｃｅ ｗｉｌｌ ｂｅ ｍｏｒｅ ｐｅｒｆｅｃｔ． Ｋｅｙｗｏｒｄｓ： ＨＴＭＬ５；Ｃｒｏｓｓ Ｄｏｍａｉｎ；Ｏｒｉｇｉｎ Ｐｏｌｉｃｙ；Ｄａｔａ Ｓｙｎｃｈｒｏｎｉｚａｔｉｏｎ；ＸＳＳ ④ 现代计算机２０１５．０６上
