這不是一個應用程序（*）漏洞嗎？（Javascript和HTTP）

只是想知道。這不是一種威脅嗎？假設192.168.0.1是一個在端口80上具有管理面板的網絡路由器。如果你讓一個用戶執行一個類似的代碼片段，你不能「強制」密碼嗎？考慮到像網絡路由器這樣的網絡設備通常使用默認的用戶名和密碼。這不是一個應用程序（*）漏洞嗎？（Javascript和HTTP）

<script> 
function imgerror(data) 
{ 
    alert('The following '+data.src+ ' failed due to wrong password/username.'); 
} 
</script> 

<img src="user:[email protected]/menu_button.gif" onerror="imgerror(this)">

menu_button.gif在這種情況下，在administrationpanel使用的按鈕 - 並通過HTTP基本身份驗證保護。

來源

2010-11-17 Michael McMillan

的信任側執行腳本，是暴力破解的這個代碼 – 2010-11-17 10:34:00

不是。但是，你可以快速實現JavaScript，添加不同src的圖像元素。 – 2010-11-17 10:35:02

不確定爲什麼你認爲這是一個瀏覽器問題？ – Paddy 2010-11-17 10:42:36

如果開發人員/網絡管理員不關心他們網絡上的安全性，這隻會是一個漏洞。

來源

2010-11-17 10:36:10 Greg

網絡管理員在許多情況下是缺乏經驗的公衆。我訪問的大多數路由器都有admin/blank，空白/空白，admin/admin。 – 2010-11-17 10:38:00

他們正在改變的時代。大多數ISP現在可以爲廣域網路由器提供非平凡的密碼。 – PeterMmm 2010-11-17 10:48:53

情況並非總是如此。 – 2010-11-17 11:05:30

-1

這是可能的，甚至更復雜一些JS/Ajax線（見XXS）。

這意味着你不能相信NOBODY，即使在你自己的網絡中。如果你不能信任任何人，並且你有一個基本的安全模式（作爲基本的http認證），你必須使用硬可破壞的密碼，或者如果安全問題（大多數私人用戶根本不知道什麼安全手段），你必須應用安全協議。

如果您使用標準密碼或空白密碼將門打開。

來源

2010-11-17 10:46:13 PeterMmm

這是很老的想法http://web.archive.org/web/20070315010517/www.spidynamics.com/spilabs/js-port-scan/

javascript:var i=document.createElement('IFRAME');i.src='http://192.168.1.1/';document.body.appendChild(i);void(0);

試試這一個，並找到crossnetwork警告在下面的iframe *。

需要意識到UA :)

技術不同，其實質是相同的 - 在我沒有理解防火牆

來源

2010-11-17 10:56:38

我不明白這是我的想法。你如何檢查HTTP響應爲200？ – 2010-11-17 17:48:12

你會如何防止用戶被突然401提醒？ :) – 2010-11-17 19:18:27

就像我之前說過的，如果圖像的GET請求包含401，Firefox會默默地死去。儘管在200上，我敢打賭，onerror事件不會被執行。請隨身攜帶，因爲這些都是我身邊的假設！而且還讓我補充 - 「不在記錄中」 - 我不想讓女孩擁有這個主題:( – 2010-11-17 20:40:36

這不是一個應用程序（*）漏洞嗎？ （Javascript和HTTP）

回答

相關問題

這不是一個應用程序（*）漏洞嗎？（Javascript和HTTP）