哈哈哈,上次送的loc账号自动签到脚本不知不觉都挂到金牌会员了(1000+),但是loc的邀请码涨价500+了,原来好像是100+来自,还是买不起。
另外再说说论坛的事。
论坛有一个js文件,看上去很平常。如果看过安全圈的新闻,就会发现这种引用有问题。
首先这个外部js是没有用async=""
或者defer=""
加载的。
这个js又在<head>
区块中,这说明什么问题?
说明是这个js是同步加载的,并且要等这个js加载完才会加载正文<body>
。
当cdn.jsdelivr.net域名连接性不好时,发过去的http包drop掉时,浏览器会一种等待这个js加载完成或者1分钟超时断开连接才加载正文。
会发生什么,用俗话来讲,就是cdn.jsdelivr.net加载的时候会白屏(因为body没加载)(不过tcp reset由于会迅速断开,反而不受影响)
还有,这种方式
直接引用一个外部js而不进行任何校验是十分危险的,而且还是这种任何人都有编辑权限的仓库,github,npm等等
即使现在指向官方,也不能保证未来官方仓库改名,删库后(然后被建了同名仓库顶替),或者被篡改(源仓库被黑,或者中间cdn被劫持等等)等等。
这个圈内有很多利用的例子,连xss都省了,直接钓走登录cookie。
正确做法减少外部js引用,如果必须要引用,必须校验js的hash(如sha256等等)。
<script src=“[链接登录后可见]” integrity=“sha256-Kap7fdgcCY5u+R9GqQ8K/uxy9rx7GYl1kPzQho1wx4Jw” crossorigin=“anonymous”></script>
我了解这个integrity是看到一个新闻,好像是某交易所网站引用外部js未校验的事情,结果上游js被篡改,导致用户币被盗走了。
最后,本来还想写一点但是忘了刚刚想的是什么了,那就算了。另外,感觉论坛变冷清了许多