第2章 浏览器安全

1.同源策略（same origin policy）限制来自不同源的“document”或脚本，对当前“document”读取或设置某些属性。

影响“源”的因素有:host(域名或IP)，子域名，端口，协议。

在网页中插入一段恶意代码，利用浏览器漏洞执行任意代码的攻击方式，称为挂马。

2.浏览器沙箱:多进程架构，多进程浏览器只会崩溃当前tab页，而单进程浏览器会崩溃整个浏览器进程。

3.恶意网站拦截:一般都是浏览器周期性的从服务器端获取一份最新的恶意网址黑名单，如果用户上网时访问的网址存在于此黑名单中，浏览器会弹出一个警告页面。

恶意网址分两类:一类是挂马网站，网站通常包含有恶意脚本，通过利用浏览器漏洞执行shellcode,在用户电脑植入木马。另一类是钓鱼网站，通过模仿知名网站的相似页面来欺骗用户。

PhishTank是免费提供恶意网址黑名单组织之一。Google也公开了SafeBrowsing API,任何组织或个人都可以在产品中接入。

第三章 跨站脚本攻击(XSS)

跨站脚本攻击(Cross Site Script)，通常指黑客通过“HTML注入”篡改了网页，插入恶意脚本，从而在用户浏览网页时，控制用户浏览器的一种攻击。