4个答案
-
1 我记得GIFAR易受蛇油攻击。 GIF部分中的JAR仅对攻击者与XSS结合加载上传的JAR/GIF文件有价值。 我相信,这里的目标是让攻击者加载一个具有相同域策略的java小程序“绕过”。 – 狗吃猫的世界 评论 2011年11月3日7:52 -
根本不是蛇油,正如您所说,它允许加载applet(例如,请注意),而不考虑域。 此外,无论您在哪里上传GIF文件供他人查看,您都可以上传GIFAR,从而在受害者的浏览器上运行小程序。 您甚至不需要XSS,因为它已经被加载了。 评论 2011年11月3日11:44 -