CDN託管腳本（如jQuery）的XSS預防

[編輯：] 如果訪問我的網站（通過Microsoft CDN網絡提供jQuery的客戶端）的攻擊者模仿Microsoft CDN，他/她的DNS會被欺騙。在這種情況下，理論上攻擊者應該能夠運行任意的javascript代碼。CDN託管腳本（如jQuery）的XSS預防

有什麼辦法可以防止這種情況發生？或者我應該停止盜鏈CDN服務器？

來源

2012-07-26 Collins

我不是專家，但不是Google通過HTTPS（SSL）提供這些文件以防止此類攻擊？ – 2012-07-26 17:21:34

@Tomasz，是的，但是如果我使用微軟的CDN，我的理論是有效的。 Microsoft通過HTTP服務它[http://ajax.aspnetcdn.com/ajax/jQuery/jquery-1.7.2.min.js](http://ajax.aspnetcdn.com/ajax/jQuery/jquery-1.7.2 .min.js） – Collins 2012-07-26 17:28:41

我想避免使用通過HTTPS傳遞的CDN進行欺騙的結果，這似乎是唯一合理的解決方案（只要CA未受損，至少發生一次） – 2012-07-26 22:43:04

標準的XSS預防機制適用，但在這種情況下，由於它是一個CDN，因此您可能沒有太多的控制權限，所以最好的做法是僅使用SSL上的CDN。

也就是說，如果受害者的DNS已經被盜用，他們很可能會有其他問題，尤其是像銀行這樣的高價值網站，或者像Facebook這樣的大型目標網站，可能會有更多人使用。

來源

2012-10-05 17:00:15 cdeszaq

CDN託管腳本（如jQuery）的XSS預防

回答

相關問題