{"id":259018,"date":"2015-06-09T20:20:03","date_gmt":"2015-06-09T16:20:03","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=259018"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=259018","title":{"rendered":"(\u041d\u0435)\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u044b\u0439 frontend"},"content":{"rendered":"<br \/>\n<h1><font color=\"#56A5EC\">\u0418\u043d\u0442\u0440\u043e<\/font><\/h1>\n<p>  \u041d\u0435 \u0442\u0430\u043a \u0434\u0430\u0432\u043d\u043e \u044f \u0432\u044b\u0441\u0442\u0443\u043f\u0430\u043b \u043d\u0430 \u043a\u043e\u043d\u0444\u0435\u0440\u0435\u043d\u0446\u0438\u0438 <a href=\"http:\/\/frontendconf.ru\/2015\/abstracts\/1769\">FrontendConf 2015<\/a> (\u0420\u0418\u0422++) \u0441 \u0442\u0435\u043c\u043e\u0439 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0438. \u0418 \u043f\u0440\u0438 \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u043a\u0435 \u0434\u043e\u043a\u043b\u0430\u0434\u0430 \u043d\u0430\u0447\u0430\u043b \u0438\u0441\u043a\u0430\u0442\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u0430 \u043a\u0442\u043e \u0432\u043e\u043e\u0431\u0449\u0435 \u0432\u044b\u0441\u0442\u0443\u043f\u0430\u043b \u043d\u0430 \u0434\u0430\u043d\u043d\u0443\u044e \u0442\u0435\u043c\u0443 \u0438 \u0447\u0442\u043e \u0435\u0441\u0442\u044c \u0432 \u0421\u0435\u0442\u0438 \u043d\u0430 \u0434\u0430\u043d\u043d\u044b\u0439 \u043c\u043e\u043c\u0435\u043d\u0442.<\/p>\n<p>  \u041e\u043a\u0430\u0437\u0430\u043b\u043e\u0441\u044c, \u0447\u0442\u043e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0441\u043e\u0432\u0441\u0435\u043c \u043d\u0435\u043c\u043d\u043e\u0433\u043e, \u0431\u043e\u043b\u0435\u0435-\u043c\u0435\u043d\u0435\u0435 \u043c\u043e\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u0431\u044b \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c \u0434\u043e\u043a\u043b\u0430\u0434 <a href=\"https:\/\/mikewest.org\/2013\/09\/frontend-security-frontendconf-2013\">mikewest.org\/2013\/09\/frontend-security-frontendconf-2013<\/a> \u043e\u0442 Mike West \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Google, \u043d\u043e \u043a\u0430\u043a\u043e\u0439-\u0442\u043e \u00ab\u043d\u0435\u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0441\u043a\u0438\u0439\u00bb \u0432\u0437\u0433\u043b\u044f\u0434 \u0438 \u0443\u0436 \u0441\u043e\u0432\u0441\u0435\u043c \u043c\u0430\u043b\u043e \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u0430. \u0418 <a href=\"http:\/\/www.slideshare.net\/eoftedal\/web-application-security-in-front-end\">www.slideshare.net\/eoftedal\/web-application-security-in-front-end<\/a> \u0433\u0434\u0435 \u0442\u0435\u043c\u0430 \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u0430 \u0431\u043e\u043b\u0435\u0435 \u0434\u0435\u0442\u0430\u043b\u044c\u043d\u043e, \u043d\u043e \u0432\u044b\u0441\u0442\u0443\u043f\u043b\u0435\u043d\u0438\u0435 2011 \u0433\u043e\u0434\u0430. \u0410 \u0437\u0430 4 \u0433\u043e\u0434\u0430 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0438 \u0438 \u0430\u0442\u0430\u043a\u0438 \u043d\u0430 \u043c\u0435\u0441\u0442\u0435 \u043d\u0435 \u0441\u0442\u043e\u044f\u043b\u0438.<\/p>\n<p>  \u0414\u043e\u043b\u0433\u043e \u0438 \u0441\u043b\u043e\u0436\u043d\u043e \u0432\u044b\u0431\u0438\u0440\u0430\u044f \u0442\u0435\u043c\u044b, \u0447\u0442\u043e \u0436\u0435 \u0432\u0441\u0435-\u0442\u0430\u043a\u0438 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430\u043c \u0444\u0440\u043e\u043d\u0442\u0435\u043d\u0434\u043e\u0432 \u043f\u0440\u043e \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c, \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u043c\u0438\u043d\u0438\u043c\u0443\u043c \u043a\u0430\u0441\u0430\u044f\u0441\u044c \u0431\u0435\u043a\u044d\u043d\u0434\u0430 (\u043c\u0435\u0441\u0442\u0430\u043c\u0438 \u0432\u0441\u0435-\u0442\u0430\u043a\u0438 \u044d\u0442\u043e \u043d\u0435\u0434\u0435\u043b\u0438\u043c\u043e), \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0441\u044f \u0434\u043e\u043a\u043b\u0430\u0434, \u0430 \u0437\u0434\u0435\u0441\u044c \u2014 \u0435\u0433\u043e \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u043f\u0435\u0440\u0435\u0441\u043a\u0430\u0437.<\/p>\n<h1><font color=\"#56A5EC\">\u041e \u0447\u0435\u043c \u0432\u043e\u043e\u0431\u0449\u0435 \u0440\u0430\u0437\u0433\u043e\u0432\u043e\u0440?<\/font><\/h1>\n<p>  \u0410 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u043e \u0447\u0435\u043c \u0442\u0443\u0442 \u0432\u043e\u043e\u0431\u0449\u0435 \u043c\u043e\u0436\u043d\u043e \u0440\u0430\u0437\u0433\u043e\u0432\u0430\u0440\u0438\u0432\u0430\u0442\u044c? \u0413\u043e\u0432\u043e\u0440\u044f \u043f\u0440\u043e \u0432\u0437\u043b\u043e\u043c\u044b \u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u043d\u0435\u0432\u043e\u043b\u044c\u043d\u043e \u043f\u0440\u0438\u0445\u043e\u0434\u044f\u0442 \u0432 \u0433\u043e\u043b\u043e\u0432\u0443 \u0442\u0435\u0437\u0438\u0441\u044b \u2014 \u0441\u043b\u0438\u043b\u0438 \u0431\u0430\u0437\u0443, \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044e \u043a\u043e\u043c\u0430\u043d\u0434 \u041e\u0421 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435, \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043b\u0438 \u0447\u0443\u0436\u0443\u044e \u043f\u0435\u0440\u0435\u043f\u0438\u0441\u043a\u0443. \u041d\u043e \u044d\u0442\u043e \u0432\u0441\u0435 \u2014 server side \u043a\u043e\u0434. \u0410 \u0447\u0442\u043e \u0436 \u043c\u043e\u0436\u0435\u0442 \u00ab\u043d\u0430\u0433\u043e\u0440\u043e\u0434\u0438\u0442\u044c\u00bb \u0444\u0440\u043e\u043d\u0442\u044d\u043d\u0434\u0435\u0440? \u0413\u043b\u0430\u0432\u043d\u0430\u044f \u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c, \u043a\u043e\u043d\u0435\u0447\u043d\u043e \u0436\u0435, \u0432 \u043e\u0431\u0445\u043e\u0434\u0435 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u043c SOP \u2014 Same Origin Policy, \u0433\u043b\u0430\u0432\u043d\u043e\u0439 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0440\u0435\u0433\u0443\u043b\u0438\u0440\u0443\u0435\u0442 \u0440\u0430\u0431\u043e\u0442\u0443 \u0432 \u0440\u0430\u0437\u043d\u044b\u0445 Origin. \u041d\u043e \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e, \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0442\u044c\u0441\u044f.<\/p>\n<p>  <a name=\"habracut\"><\/a>  <\/p>\n<h1><font color=\"#56A5EC\">\u041c\u0435\u0436\u0441\u0430\u0439\u0442\u043e\u0432\u044b\u0439 \u0441\u043a\u0440\u0438\u043f\u0442\u0438\u043d\u0433<\/font><\/h1>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/files\/291\/03a\/242\/29103a242077459cacd9a5c8b820cc70.png\"\/><br \/>  <i>Cross Site Scripting<\/i><br \/>  \u0422\u0435\u043c\u0430 XSS \u0438\u0437\u044a\u0435\u0437\u0436\u0435\u043d\u0430 \u043a\u0430\u043a \u0442\u043e\u043b\u044c\u043a\u043e \u043c\u043e\u0436\u043d\u043e, \u043d\u043e \u043e\u0431\u044b\u0447\u043d\u043e \u0440\u0435\u0447\u044c \u0438\u0434\u0435\u0442 \u043e \u043d\u0435\u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u043e\u0439 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u043e\u0439 \u0441\u0442\u043e\u0440\u043e\u043d\u0435 (\u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u043c\u043e\u0436\u0435\u0442 \u0432\u0441\u0442\u0440\u043e\u0438\u0442\u044c \u0441\u0432\u043e\u0439 JS \u043a\u043e\u0434 \u0432 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443 \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u0435\u0433\u043e, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435 \u0436\u0435\u0440\u0442\u0432\u044b, \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0433\u043e origin, \u0438\u0442\u043e\u0433 \u2014 \u043e\u0431\u0445\u043e\u0434 SOP). \u0418 \u0432\u044b\u0434\u0435\u043b\u0438\u043b\u0438 \u0442\u0430\u043c 2 \u0432\u0438\u0434\u0430 XSS \u0430\u0442\u0430\u043a \u2014 stored (\u00ab\u0437\u043b\u043e\u0431\u043d\u044b\u0439\u00bb js \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435) \u0438 reflected (\u043e\u0442\u0434\u0430\u0435\u0442\u0441\u044f \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c \u0431\u0435\u0437 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f).<\/p>\n<p>  \u041d\u0443 \u0430 \u0447\u0442\u043e \u0441 \u0444\u0440\u043e\u043d\u0442\u0435\u043d\u0434\u043e\u043c \u0442\u043e? \u0410 \u0437\u0434\u0435\u0441\u044c \u0434\u0440\u0443\u0433\u043e\u0439 \u0441\u043b\u0443\u0447\u0430\u0439 \u2014 JS \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430 \u043d\u0435 \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442\u0441\u044f \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 (\u0437\u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f\u043c\u0438, \u043d\u043e \u0434\u0435\u043b\u043e \u043d\u0435 \u0432 \u043d\u0438\u0445), \u0430 \u0432\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0432 DOM \u0437\u0430 \u0441\u0447\u0435\u0442 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0433\u043e JS \u043a\u043e\u0434\u0430. \u041e\u0442\u0441\u044e\u0434\u0430 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 \u0434\u043b\u044f \u0442\u0440\u0435\u0442\u044c\u0435\u0433\u043e \u0442\u0438\u043f\u0430 \u0430\u0442\u0430\u043a XSS \u2014 DOM XSS.<\/p>\n<p>  \u0422\u0438\u043f\u0438\u0447\u043d\u044b\u0439 \u043f\u0440\u0438\u043c\u0435\u0440 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0433\u043e JS \u043a\u043e\u0434\u0430:<\/p>\n<pre><code class=\"javascript\">document.write(&quot;Site is at: &quot; + document.location.href); <\/code><\/pre>\n<p>  \u0422\u0435\u043f\u0435\u0440\u044c \u043e\u0442\u043a\u0440\u044b\u0432 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443 \u043f\u043e \u0430\u0434\u0440\u0435\u0441\u0443<\/p>\n<pre><code class=\"bash\">http:\/\/victim.com\/action#&lt;script&gt;alert('xss')&lt;\/script&gt;\u0455 <\/code><\/pre>\n<p>  JS \u0434\u043e\u0431\u0430\u0432\u0438\u0442 \u0432 \u0434\u0435\u0440\u0435\u0432\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 document.location.href, \u0433\u0434\u0435 \u0432\u0441\u0442\u0430\u0432\u043b\u0435\u043d \u00ab\u0437\u043b\u043e\u0431\u043d\u044b\u0439\u00bb js. \u041a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0443\u0436\u0435 \u0437\u0430\u043c\u0435\u0442\u0438\u0442\u044c \u0438\u0437 \u0434\u0430\u043d\u043d\u043e\u0433\u043e \u043f\u0440\u0438\u043c\u0435\u0440\u0430 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0432\u0435\u043a\u0442\u043e\u0440\u043e\u0432 \u0434\u043b\u044f \u0434\u0430\u043d\u043d\u043e\u0433\u043e \u0432\u0438\u0434\u0430 \u0430\u0442\u0430\u043a \u043d\u0430\u043c \u043d\u0443\u0436\u043d\u043e \u0434\u0432\u0435 \u0432\u0435\u0449\u0438: \u043d\u0430 \u0447\u0442\u043e-\u0442\u043e \u043f\u043e\u0432\u043b\u0438\u044f\u0442\u044c \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f (sources) \u0438 \u043a\u0430\u043a-\u0442\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c (sinks). <\/p>\n<p>  \u041f\u0440\u0438\u043c\u0435\u0440\u044b \u00ab\u0441\u043e\u0440\u0441\u043e\u0432\u00bb (sources):  <\/p>\n<ul>\n<li>document.URL<\/li>\n<li>location<\/li>\n<li>document.referrer<\/li>\n<li>window.name<\/li>\n<li>localStorage<\/li>\n<li>cookies<\/li>\n<\/ul>\n<p>  \u041f\u0440\u0438\u043c\u0435\u0440\u044b \u00ab\u0441\u0438\u043d\u043a\u043e\u0432\u00bb (sinks)  <\/p>\n<ul>\n<li>eval<\/li>\n<li>document.write<\/li>\n<li>(element).innerHTML<\/li>\n<li>(element).src<\/li>\n<li>setTimeout \/ setInterval<\/li>\n<li>execScript<\/li>\n<\/ul>\n<p>  \u0411\u043e\u043b\u0435\u0435 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u0442\u044c\u0441\u044f \u0441 \u0434\u0430\u043d\u043d\u043e\u0439 \u0442\u0435\u043c\u043e\u0439 \u043c\u043e\u0436\u043d\u043e \u043f\u043e \u0441\u0441\u044b\u043b\u043a\u0430\u043c \u2014 <a href=\"https:\/\/code.google.com\/p\/domxsswiki\/\">code.google.com\/p\/domxsswiki<\/a> (\u0438 \u0432\u0437\u044f\u0442\u044c \u043e\u0442\u0441\u044e\u0434\u0430 \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043a\u0443 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u0445 \u043c\u0435\u0441\u0442) \u0438 <a href=\"http:\/\/habrahabr.ru\/company\/xakep\/blog\/189210\/\">habrahabr.ru\/company\/xakep\/blog\/189210<\/a>, \u0441\u0442\u0430\u0442\u044c\u044f \u043e\u0442 \u043c\u043e\u0435\u0433\u043e \u043a\u043e\u043b\u043b\u0435\u0433\u0438 \u0410\u043b\u0435\u043a\u0441\u0435\u044f \u0422\u044e\u0440\u0438\u043d\u0430<\/p>\n<p>  \u0410 \u0432\u043e\u0442 \u043f\u0440\u0438\u043c\u0435\u0440 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0433\u043e \u043a\u043e\u0434\u0430 (\u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0433\u043e) \u0441 twitter.com (<a href=\"http:\/\/blog.mindedsecurity.com\/2010\/09\/twitter-domxss-wrong-fix-and-something.html\">full story<\/a>)<\/p>\n<pre><code class=\"javascript\">(function(g){var a=location.href.split(&quot;#!&quot;)[1];if(a){g.location=g.HBR=a;}})(window); <\/code><\/pre>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/post_images\/77e\/695\/f34\/77e695f34bca9e1f8f775abde7a6e1d4.jpg\" alt=\"image\"\/><br \/>  <i>\u041f\u0440\u0438\u043c\u0435\u0440 DOM XSS \u043d\u0430 twititer.com<\/i><\/p>\n<h1><font color=\"#56A5EC\">\u0423\u0442\u0435\u0447\u043a\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438<\/font><\/h1>\n<p>  \u0427\u0430\u0441\u0442\u043e \u0431\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e JS\/CSS \u0444\u0430\u0439\u043b\u044b \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e\u0431 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b. <\/p>\n<h2><font color=\"#56A5EC\">\u041f\u0440\u043e javascript<\/font><\/h2>\n<p>  \u041a\u043e\u0433\u0434\u0430 \u043f\u0440\u043e\u0435\u043a\u0442\u044b \u0441\u0442\u0430\u043d\u043e\u0432\u044f\u0442\u0441\u044f \u0441\u043e\u0432\u0441\u0435\u043c \u0431\u043e\u043b\u044c\u0448\u0438\u043c\u0438 \u0438 \u0432\u0441\u0442\u0443\u043f\u0430\u044e\u0442 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0435 \u0441\u0440\u0435\u0434\u044b \u0434\u043b\u044f \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f (test\/dev\/prod) \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0442\u0441\u044f \u00ab\u043a\u043e\u0441\u0442\u044b\u043b\u0438\u00bb \u0438 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u043d\u0430 \u043a\u043b\u0438\u0435\u043d\u0442\u0435, \u0432 \u043a\u0430\u043a\u043e\u043c \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0438 \u043d\u0443\u0436\u043d\u043e \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c.<\/p>\n<p>  \u041f\u0440\u0438\u043c\u0435\u0440 \u0442\u0430\u043a\u043e\u0433\u043e \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430, mail.ru \u2014 <a href=\"http:\/\/img.imgsmail.ru\/r\/webagent\/release\/loader.js\">img.imgsmail.ru\/r\/webagent\/release\/loader.js<\/a><\/p>\n<pre><code class=\"javascript\">var dl = (''+document.location), host = document.location.host, branch = 'master', path = 'release\/467', base = 'r\/webagent\/', probability = [ {&quot;branch&quot;: &quot;wa-514&quot;, &quot;deprecated&quot;:1} ], lastForcedVersion = '20131126154524', isLocalhost = dl.indexOf('localhost') != -1, testServer = host.match(\/[^.]+\\.((?:f|my\\.rapira)\\d*)\\.mail\\.ru\/), devServer = host.match(\/^.+\\.dev\\.mail\\.ru$\/), isRapira = testServer && testServer[1].indexOf('my.rapira') == 0, utf = true,\/\/!!window.IS_UTF, domainProps = {}, domain = '\/\/img.imgsmail.ru', login = getUserLogin(), useBranch = (dl.match(\/\\Wwa_use_branch=([a-z0-9-]*)\/i)||[0,false])[1], useLang = (dl.match(\/\\Wwa_lang=([a-z]{2})\/i)||[0,false])[1], useOnce = (dl.match(\/\\Wbranch=([a-z0-9-]*)\/i)||[0,false])[1], appVersion = (dl.match(\/\\Wwa_appver=([\\.0-9]*)\/i)||[0,false])[1], usedBranch = branch; <\/code><\/pre>\n<p>  \u041a\u0430\u043a \u0432\u0438\u0434\u043d\u043e \u0438\u0437 \u0444\u0430\u0439\u043b\u0430, \u043f\u043e \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043a\u0430\u043c \u043c\u043e\u0436\u043d\u043e \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c \u0434\u043e\u043c\u0435\u043d\u044b (\u0438 \u0441\u0431\u0440\u0443\u0442\u0438\u0442\u044c \u0432\u0430\u043b\u0438\u0434\u043d\u044b\u0435?) \u0434\u043b\u044f \u0442\u0435\u0441\u0442\u043e\u0432 \u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438. \u0412 \u0434\u0430\u043d\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043c\u043e\u0436\u0435\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u0438 \u043d\u0435 \u043e\u0447\u0435\u043d\u044c \u043a\u0440\u0438\u0442\u0438\u0447\u043d\u0430\u044f (\u0435\u0441\u043b\u0438 \u0447\u0442\u043e \u2014 mail.ru \u0432 \u043a\u0443\u0440\u0441\u0435), \u043d\u043e \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u044e\u0442\u0441\u044f \u043f\u043e\u0440\u043e\u0439 \u0438 \u0442\u0430\u043a\u0438\u0435 \u043a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u0438:<\/p>\n<pre><code class=\"javascript\">internalDevHOST = '172.16.22.2'; internalProdHOST = '172.16.22.5'; <\/code><\/pre>\n<p>  <\/p>\n<h2><font color=\"#56A5EC\">CSS<\/font><\/h2>\n<p>  \u0421 CSS \u0442\u043e\u0436\u0435 \u0441\u0430\u043c\u043e\u0435. \u041f\u0440\u043e\u0435\u043a\u0442\u044b \u0440\u0430\u0441\u0442\u0443\u0442, \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0442 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0442\u044c \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0435 \u00ab\u0441\u0431\u043e\u0440\u0449\u0438\u043a\u0438\u00bb, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043a\u0430\u043a \u0440\u0430\u0437 \u0431\u044b\u0432\u0430\u044e\u0442 \u0438 \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0442 \u00ab\u0432\u043a\u0443\u0441\u043d\u0443\u044e\u00bb \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u043f\u0440\u0438\u043c\u0435\u0440 \u2014 <a href=\"https:\/\/hackerone.com\/reports\/2221\">hackerone.com\/reports\/2221<\/a><\/p>\n<pre><code class=\"bash\">file\\:\\\/\\\/\\\/applications\\\/hackerone\\\/releases\\\/20140221175929\\\/app\\\/assets\\\/stylesheets\\\/application\\\/browser-not-supported\\.scss file\\:\\\/\\\/\\\/applications\\\/hackerone\\\/releases\\\/20140221175929\\\/app\\\/assets\\\/stylesheets\\\/application\\\/modules\\\/add-category\\.scss file\\:\\\/\\\/\\\/applications\\\/hackerone\\\/releases\\\/20140221175929\\\/app\\\/assets\\\/stylesheets\\\/application\\\/modules\\\/alias-preview\\.scss ...  <\/code><\/pre>\n<p>  <\/p>\n<h1><font color=\"#56A5EC\">MVC \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0438<\/font><\/h1>\n<p>  \u0412\u0441\u0435 \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u0435\u0435 \u0441\u0442\u0430\u043d\u043e\u0432\u044f\u0442\u0441\u044f \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0435 JS MVC \u0444\u0440\u0435\u0439\u043c\u043e\u0440\u0432\u043a\u0438: AngularJS, Knockout, EmberJS \u0438 \u0442.\u0434. \u0421 \u043d\u0438\u043c\u0438 \u043e\u0447\u0435\u043d\u044c \u043a\u0440\u0443\u0442\u043e, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442 \u0440\u0430\u0441\u0448\u0438\u0440\u0438\u0442\u044c \u0440\u0430\u0431\u043e\u0442\u0443 \u0441 DOM, \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u0442\u044c \u043d\u043e\u0432\u044b\u0435 \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u044b (), \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u0442\u044c \u00ab\u0431\u0438\u043d\u0434\u0438\u043d\u0433\u0438\u00bb \u0438 \u0442.\u0434. \u0415\u0441\u0442\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u0447\u0442\u043e-\u0442\u043e \u043d\u043e\u0432\u043e\u0435 \u043d\u0435 \u043c\u043e\u0433\u043b\u043e \u043f\u0440\u043e\u0439\u0442\u0438 \u043d\u0435\u0437\u0430\u043c\u0435\u0442\u043d\u043e \u0434\u043b\u044f \u043c\u0438\u0440\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438.<\/p>\n<p>  \u0412 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438 \u043d\u0430\u0441 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u044e\u0442 logic-less \u0442\u0435\u043c\u043f\u043b\u0435\u0439\u0442\u044b<\/p>\n<pre><code class=\"html\">&lt;ul&gt; &lt;li ng-repeat=&quot;phone in phones&quot;&gt;  &lt;span&gt;{{phone.name}}&lt;\/span&gt;  &lt;p&gt;{{phone.snippet}}&lt;\/p&gt; &lt;\/li&gt; &lt;\/ul&gt; <\/code><\/pre>\n<p>  \u041a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0441\u043e\u043a\u0440\u0430\u0442\u0438\u0442\u044c \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u043e \u00ab\u043a\u043e\u043f\u0438\u043f\u0430\u0441\u0442\u0430\u00bb \u0438 \u043f\u0440\u0438\u0441\u0432\u0430\u0438\u0432\u0430\u0442\u044c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u043c \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u043c \u0432\u043d\u0443\u0442\u0440\u0438 \u0441\u043a\u043e\u0431\u043e\u043a.<\/p>\n<p>  \u0418\u043b\u0438 \u0443\u0441\u043e\u0432, \u0435\u0441\u043b\u0438 \u0441\u043a\u043e\u0431\u043a\u0443 \u043f\u043e\u0432\u0435\u0440\u043d\u0443\u0442\u044c \u043d\u0430 90\u00b0. \u0423\u0441\u043e\u0432! <a href=\"http:\/\/mustache.github.io\">mustache.github.io<\/a><\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/post_images\/0f7\/61a\/abc\/0f761aabce5b2716f2a50898140f8bab.jpg\" alt=\"image\"\/><\/p>\n<p>  \u0422\u0430\u043a \u043f\u043e\u044f\u0432\u0438\u043b\u0441\u044f \u043f\u0440\u043e\u0435\u043a\u0442 mustache security \u2014 <a href=\"https:\/\/code.google.com\/p\/mustache-security\/\">code.google.com\/p\/mustache-security<\/a>, \u043f\u0440\u043e \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c MVC \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u043e\u0432. \u0423\u0436\u0435 \u0435\u0441\u0442\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043f\u0440\u043e:<\/p>\n<ul>\n<li>VueJS<\/li>\n<li>AngularJS<\/li>\n<li>CanJS<\/li>\n<li>Underscore.js<\/li>\n<li>KnockoutJS<\/li>\n<li>Ember.js<\/li>\n<li>Polymer<\/li>\n<li>Ractive.js<\/li>\n<li>jQuery<\/li>\n<li>JsRender<\/li>\n<li>Kendo UI<\/li>\n<\/ul>\n<p>  \u0422\u0430\u043a \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u0432\u0435\u0440\u043d\u0435\u043c\u0441\u044f, \u0447\u0442\u043e \u043f\u043b\u043e\u0445\u043e\u0433\u043e \u0442\u043e \u043c\u043e\u0436\u0435\u0442 \u0437\u0434\u0435\u0441\u044c \u0441\u043b\u0443\u0447\u0438\u0442\u0441\u044f? \u0412\u043e\u0437\u044c\u043c\u0435\u043c AngularJS. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u0431\u044b\u0432\u0430\u044e\u0442 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u0438, \u043a\u043e\u0433\u0434\u0430 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u043a\u0430\u043a \u0440\u0430\u0437 \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442 \u043a\u0430\u043a \u0440\u0430\u0437 \u0432\u043d\u0443\u0442\u0440\u044c \u044d\u0442\u0438\u0445 \u0441\u043a\u043e\u0431\u043e\u043a. \u0418 \u0438\u0437 \u043d\u0438\u0445 \u043a\u0430\u043a-\u0442\u043e \u043d\u0430\u0434\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u0441\u0432\u043e\u0439 JS, \u043d\u043e \u044d\u0442\u043e \u043f\u043e-\u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u043d\u0435\u043b\u044c\u0437\u044f. \u0417\u0430\u0434\u0430\u0447\u0430 \u2014 \u043e\u0431\u043e\u0439\u0442\u0438 \u00ab\u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u0443\u00bb.<\/p>\n<p>  \u041f\u0440\u0438\u043c\u0435\u0440 \u0441 AngularJS (1.1.5)<\/p>\n<pre><code class=\"html\">&lt;div class=&quot;ng-app&quot;&gt; {{constructor.constructor('alert(1)')()}} &lt;\/div&gt; <\/code><\/pre>\n<p>  \u0412\u043e\u0442 \u0442\u0430\u043a, \u043f\u043e\u043a\u0430 \u0435\u0449\u0435 \u043d\u0435 \u043e\u0447\u0435\u043d\u044c \u0445\u0438\u0442\u0440\u043e \u0432 \u0432\u0435\u0440\u0441\u0438\u0438 AngularJS &lt; 1.1.5 \u043c\u043e\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u0432\u044b\u0431\u0440\u0430\u0442\u044c\u0441\u044f \u0438\u0437 \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u044b \u0438 \u00ab\u0434\u043e\u0441\u0442\u0443\u0447\u0430\u0442\u044c\u0441\u044f\u00bb \u0434\u043e \u043e\u0431\u044a\u0435\u043a\u0442\u0430 window (\u0432 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u0432\u044b\u0448\u0435 \u2014 \u043f\u0440\u043e\u0441\u0442\u043e \u0432\u044b\u0437\u043e\u0432 alert(1)), \u0432\u0441\u0435\u0433\u043e \u043e\u043a\u043d\u0430 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430. Google \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u0444\u0438\u043a\u0441, \u0438\u2026<\/p>\n<p>  AngularJS (1.2.18), \u043f\u043e\u0441\u043b\u0435 \u0444\u0438\u043a\u0441\u043e\u0432<\/p>\n<pre><code class=\"html\">{{ (_=''.sub).call.call({}[$='constructor'].getOwnPropertyDescriptor(_.__proto__,$).value,0,'alert(1)')() }} <\/code><\/pre>\n<p>  \u0416\u0435\u043b\u0430\u0435\u043c\u044b\u0439 alert(1) \u0442\u0430\u043a\u0436\u0435 \u043f\u043e\u043b\u0443\u0447\u0435\u043d!<\/p>\n<p>  \u0422\u0430\u043a \u043a \u0447\u0435\u043c\u0443 \u044f. \u041e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u0444\u0440\u0435\u0439\u043c\u043e\u0440\u043a\u043e\u0432 \u0432\u0430\u0436\u043d\u043e \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u043b\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u0430, \u043d\u043e \u0438 \u0434\u043b\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438!<\/p>\n<h1><font color=\"#56A5EC\">Cookies<\/font><\/h1>\n<p>  \u0420\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u044f \u0434\u0430\u043d\u043d\u044b\u0439 \u043f\u0443\u043d\u043a\u0442 \u043c\u044b \u0443\u0436\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u043c \u0437\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u0442\u044c \u043d\u0435\u043c\u043d\u043e\u0433\u043e backend. \u041d\u043e \u0441\u043e\u0432\u0441\u0435\u043c \u043d\u0435\u043c\u043d\u043e\u0433\u043e.<br \/>  \u041a\u0430\u043a \u043e\u0431\u044b\u0447\u043d\u043e \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u044e\u0442 cookie \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u043e\u0439 \u0441\u0442\u043e\u0440\u043e\u043d\u0435?<\/p>\n<p>  \u041f\u0440\u0438\u043c\u0435\u0440 \u043d\u0430 PHP:  <\/p>\n<pre><code class=\"php\">&lt;?php setcookie('foo','bar1'); ?&gt; <\/code><\/pre>\n<p>  \u041f\u0440\u0438\u043c\u0435\u0440 \u043d\u0430 Python:  <\/p>\n<pre><code class=\"python\">import Cookie C = Cookie.SimpleCookie() C[&quot;foo&quot;] = &quot;bar&quot; print C <\/code><\/pre>\n<p>  \u0418 \u0432 \u043f\u0435\u0440\u0432\u043e\u043c, \u0438 \u0432\u043e \u0432\u0442\u043e\u0440\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0441\u0435\u0440\u0432\u0435\u0440 \u043e\u0442\u0432\u0435\u0442\u0438\u0442 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u043c:  <\/p>\n<pre><code class=\"bash\">Set-Cookie: foo=bar <\/code><\/pre>\n<p>  \u0422.\u0435. \u043f\u0440\u043e\u0441\u0442\u043e \u0441\u043a\u0430\u0436\u0435\u0442 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0443, \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 bar \u043a\u043b\u044e\u0447\u0443 foo. \u041d\u043e \u043d\u0443\u0436\u043d\u043e \u0432\u0441\u0435 \u043e\u0431\u0434\u0443\u043c\u0430\u0442\u044c \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0441\u0435\u0431\u044f \u043f\u043e \u0447\u0435\u043a\u043b\u0438\u0441\u0442\u0443:  <\/p>\n<ol>\n<li>\u0423\u043a\u0430\u0437\u0430\u0442\u044c \u0434\u043e\u043c\u0435\u043d \u0434\u043b\u044f \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 cookies. \u0412 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u0432\u044b\u0448\u0435 IE \u043f\u043e\u0441\u0442\u0430\u0432\u0438\u0442 cookie \u0438 \u0434\u043b\u044f \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u043f\u043e\u0434\u0434\u043e\u043c\u0435\u043d\u0430, \u0438 \u0434\u043b\u044f \u0432\u0441\u0435\u0445 \u043f\u043e\u0434\u0434\u043e\u043c\u0435\u043d\u043e\u0432. \u0422.\u0435. \u0435\u0441\u043b\u0438 \u0431\u0443\u0434\u0435\u0442 \u043d\u0430\u0439\u0434\u0435\u043d\u0430 XSS \u043d\u0430 \u043a\u0430\u043a\u043e\u043c-\u0442\u043e \u00ab\u043b\u0435\u0432\u043e\u043c\u00bb \u043f\u043e\u0434\u0434\u043e\u043c\u0435\u043d\u0435 \u2014 \u0434\u0430\u043d\u043d\u044b\u0435 \u043c\u043e\u0433\u0443\u0442 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u044b. <a href=\"http:\/\/habrahabr.ru\/post\/143276\/\">\u041f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435<\/a>.<\/li>\n<li>\u0424\u043b\u0430\u0433 HttpOnly \u0434\u043b\u044f \u0441\u0435\u0441\u0441\u0438\u043e\u043d\u043d\u044b\u0445 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 (phpsessid, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043f\u043e \u0434\u0435\u0444\u043e\u043b\u0442\u0443 \u0438\u0434\u0435\u0442 \u0431\u0435\u0437 \u043d\u0435\u0433\u043e). \u041d\u0443\u0436\u043d\u043e \u0434\u043b\u044f \u0442\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u0431\u0440\u0430\u0443\u0437\u0435\u0440 \u0437\u0430\u043f\u0440\u0435\u0442\u0438\u043b \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u044d\u0442\u043e\u043c\u0443 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044e \u0438\u0437 JS (\u043f\u0440\u0438 XSS \u0441\u043d\u0438\u0436\u0430\u0435\u0442 \u0440\u0438\u0441\u043a\u0438 \u0445\u0438\u0449\u0435\u043d\u0438\u044f \u0430\u043a\u043a\u0430\u0443\u043d\u0442\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f)<\/li>\n<li>\u0424\u043b\u0430\u0433 Secure \u0432 \u0441\u043b\u0443\u0447\u0430\u0435, \u0435\u0441\u043b\u0438 \u0441\u0430\u0439\u0442 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u043e HTTPS \u0438 \u043d\u0435\u0442 \u043d\u0438\u043a\u0430\u043a\u043e\u0439 \u043d\u0443\u0436\u0434\u044b \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0432\u0430\u0436\u043d\u044b\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0447\u0435\u0440\u0435\u0437 \u043d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u044b\u0439 \u043a\u0430\u043d\u0430\u043b<\/li>\n<\/ol>\n<h1><font color=\"#56A5EC\">\u041f\u0435\u0440\u0435\u0445\u043e\u0434 \u043d\u0430 HTTPS<\/font><\/h1>\n<p>  \u0412 \u0442\u0440\u0435\u0442\u044c\u0435\u043c \u043f\u0443\u043d\u043a\u0442\u0435 \u0431\u044b\u043b\u043e \u0441\u043a\u0430\u0437\u0430\u043d\u043e \u043f\u0440\u043e HTTPS. \u0410 \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u043a\u0430\u043a \u0440\u0430\u0437 \u044d\u0442\u043e \u0438 \u043e\u0431\u0441\u0443\u0434\u0438\u043c, \u0432\u0435\u0434\u044c \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043e \u044d\u0442\u043e \u043a\u0430\u043a \u0440\u0430\u0437 \u043d\u0430 \u0440\u0430\u0431\u043e\u0442\u0443 \u0441 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u043c. \u0421 \u0442.\u0447. \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0430 \u044d\u0442\u043e \u043e\u0431\u044b\u0447\u043d\u043e \u0432\u043e\u043f\u0440\u043e\u0441\u044b \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u2014 \u0432\u044b\u0431\u043e\u0440 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430, \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 \u0432\u0435\u0431\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0438 \u043a\u043e\u0433\u0434\u0430 \u0443\u0436\u0435 \u0433\u043e\u0442\u043e\u0432\u043e \u2014 <b>\u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0441 HTTP \u043d\u0430 HTTPS<\/b><\/p>\n<p>  \u041a\u0430\u043a \u044d\u0442\u043e \u0431\u044b\u0432\u0430\u0435\u0442 \u0432 \u0436\u0438\u0437\u043d\u0438. \u0410\u0434\u043c\u0438\u043d \u0441\u0442\u0430\u0432\u0438\u0442 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442 \u043f\u0440\u0438 \u0437\u0430\u0445\u043e\u0434\u0435 \u043d\u0430 \u0441\u0430\u0439\u0442 \u043f\u043e HTTP \u043d\u0430 HTTPS \u0438 \u0432\u0441\u0435. \u041d\u043e \u043a\u0430\u043a \u0440\u0430\u0437 \u044d\u0442\u043e\u0442 \u043c\u043e\u043c\u0435\u043d\u0442, \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0442\u043e \u0438\u0437\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e \u0437\u0430\u0445\u043e\u0434\u0438\u0442 \u043f\u043e HTTP \u0438 \u0438\u043c\u0435\u043d\u043d\u043e \u0432 \u044d\u0442\u043e\u0442 \u043c\u043e\u043c\u0435\u043d\u0442 \u043c\u043e\u0436\u043d\u043e \u00ab\u0434\u0440\u043e\u043f\u043d\u0443\u0442\u044c\u00bb \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442 \u043d\u0430 HTTPS \u0438 \u043f\u0440\u043e\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0440\u0430\u0444\u0438\u043a \u0434\u0430\u043b\u044c\u0448\u0435, \u0442\u0430\u043a \u0438 \u043d\u0435 \u0434\u0430\u0432 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e HTTPS \u0432\u0435\u0440\u0441\u0438\u044e \u0441\u0430\u0439\u0442\u0430.<\/p>\n<p>  \u041f\u043e\u0447\u0435\u043c\u0443 \u043b\u044e\u0434\u0438 \u0437\u0430\u0445\u043e\u0434\u044f\u0442 \u043d\u0430 \u0441\u0430\u0439\u0442 \u0442\u0430\u043a\u0436\u0435 \u043f\u043e HTTP? \u041f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0443 \u0432\u0441\u0435\u0445 \u043e\u043d \u0432 \u0437\u0430\u043a\u043b\u0430\u0434\u043a\u0430\u0445 \u0432\u0441\u0435 \u0442\u0430\u043a\u0436\u0435 \u043f\u043e HTTP. <\/p>\n<p>  \u041e\u0442\u0432\u043b\u0435\u0447\u0435\u043c\u0441\u044f \u043d\u0430 \u043a\u0443\u043b\u0441\u0442\u043e\u0440\u0438 \ud83d\ude42<\/p>\n<p>  <img decoding=\"async\" src=\"http:\/\/techguider.net\/wp-content\/uploads\/2015\/04\/vkontakte-menjaet-domennoe-imja-na-vk.jpg\"\/><br \/>  <i>\u0418\u0441\u0442\u043e\u0440\u0438\u044f \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u043f\u0440\u044f\u043c\u043e \u043f\u043e\u0434 \u044d\u0442\u043e\u0439 \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u043e\u0439<\/i><\/p>\n<p>  <font color=\"white\">\u041d\u0435 \u043c\u043e\u0433\u0443 \u043d\u0435 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u043f\u0440\u043e \u00ab\u0433\u043e\u0440\u044f\u0447\u043e \u043b\u044e\u0431\u0438\u043c\u044b\u0439\u00bb VK. \u0421\u0435\u0439\u0447\u0430\u0441 \u043f\u0440\u043e\u0448\u043b\u0430\/\u0438\u0434\u0435\u0442\/\u043d\u0430\u0431\u0438\u0440\u0430\u0435\u0442 \u043e\u0431\u043e\u0440\u043e\u0442\u044b \u0432\u043e\u043b\u043d\u0430 \u00ab\u0443\u0433\u043e\u043d\u043e\u0432\u00bb \u0430\u043a\u043a\u0430\u0443\u043d\u0442\u043e\u0432 \u0432 \u0412\u041a. \u0427\u0430\u0449\u0435 \u0432\u0441\u0435\u0433\u043e \u044d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e \u0432\u0437\u043b\u043e\u043c\u0430\u043d\u043d\u044b\u0435 \u0440\u043e\u0443\u0442\u0435\u0440\u044b \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 (\u0432 \u0440\u043e\u0443\u0442\u0435\u0440\u0430\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0445\u0432\u0430\u0442\u0430\u0435\u0442) \u0441 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u043c\u0438 DNS \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c\u0438, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0430\u0434\u0440\u0435\u0441\u0430 \u0412\u041a \u2014 \u0434\u0440\u0443\u0433\u0438\u0435, \u0430 \u0438\u043c\u0435\u043d\u043d\u043e \u00ab\u0437\u043b\u043e\u0431\u043d\u044b\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u044b \u0437\u043b\u043e\u0431\u043d\u044b\u0445 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432\u00bb. \u041e\u043d\u0438 \u043a\u0430\u043a \u0440\u0430\u0437 \u0438 \u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u044d\u0442\u0438\u043c \u0442\u0440\u044e\u043a\u043e\u043c, \u043d\u0435 \u0434\u0430\u044e\u0442 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043f\u043e\u0441\u0435\u0442\u0438\u0442\u044c HTTPS \u0432\u0435\u0440\u0441\u0438\u044e \u0441\u0430\u0439\u0442\u0430, \u00ab\u0434\u0440\u043e\u043f\u0430\u044f\u00bb \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442, \u0442\u0430\u043a \u043a\u0430\u043a \u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0441\u0430\u0439\u0442 \u0432\u0441\u0435 \u0435\u0449\u0435 \u0432 \u0437\u0430\u043a\u043b\u0430\u0434\u0430\u0445 \u043f\u043e HTTP \u0432\u0435\u0440\u0441\u0438\u0438 (\u0433\u0430\u043b\u043a\u0430 \u043d\u0430 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0435 h_ttps:\/\/vk.com\/settings?act=security \u0432\u0441\u0435 \u0436\u0435 \u043d\u0435 \u043f\u0440\u0438\u043d\u0443\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439 HTTPS).<\/font><\/p>\n<p>  \u0422\u0430\u043a \u043a\u0430\u043a \u043b\u0435\u0447\u0438\u0442\u044c?<br \/>  \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043f\u0440\u0438\u0434\u0443\u043c\u0430\u043b\u0438 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a HSTS  <\/p>\n<pre><code class=\"bash\">Strict-Transport-Security: max-age=31536000;  <\/code><\/pre>\n<p>  \u041e\u043d \u0441\u043e\u043e\u0431\u0449\u0430\u0435\u0442 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0443, \u0447\u0442\u043e \u043d\u0430 \u044d\u0442\u043e\u0442 \u0441\u0430\u0439\u0442 \u043f\u043e HTTP \u0431\u043e\u043b\u044c\u0448\u0435 \u043d\u0438 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u043c. \u0423\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432\u0440\u0435\u043c\u044f, \u0432 \u0442\u0435\u0447\u0435\u043d\u0438\u0435 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0434\u0430\u043d\u043d\u043e\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 (\u0438 \u043e\u043f\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e \u043c\u043e\u0436\u043d\u043e \u0437\u0430\u0434\u0430\u0442\u044c \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u043e\u0433\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043d\u0430 \u043f\u043e\u0434\u0434\u043e\u043c\u0435\u043d\u044b).<\/p>\n<p>  \u0410 \u0435\u0441\u043b\u0438 \u0432\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0440\u0435\u0436\u0438\u043c \u043f\u0430\u0440\u0430\u043d\u043e\u0438\u043a\u0430 \u0438 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044e, \u0447\u0442\u043e \u0443\u0436\u0435 \u043f\u0440\u0438 \u043f\u0435\u0440\u0432\u043e\u043c \u043f\u043e\u0441\u0435\u0449\u0435\u043d\u0438\u0438 \u0441\u0430\u0439\u0442\u0430 \u0442\u0440\u0430\u0444\u0438\u043a \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u0442 \u0434\u0430\u043d\u043d\u044b\u0439 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u2014 \u0442\u043e \u043c\u043e\u0436\u043d\u043e \u0434\u043e\u0431\u0430\u0432\u0438\u0442\u044c \u0441\u0432\u043e\u0439 \u0440\u0435\u0441\u0443\u0440\u0441 \u0432 HSTS preload list \u2014 <a href=\"http:\/\/www.chromium.org\/hsts\">www.chromium.org\/hsts<\/a>, \u0441\u043f\u0438\u0441\u043e\u043a \u0440\u0435\u0441\u0443\u0440\u0441\u043e\u0432, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0431\u0440\u0430\u0443\u0437\u0435\u0440 \u0432\u0441\u0435\u0433\u0434\u0430 \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u0441\u0435\u0449\u0430\u0442\u044c \u043f\u043e HTTPS (\u0442.\u0435. \u0441\u043f\u0438\u0441\u043e\u043a \u0440\u0435\u0441\u0443\u0440\u0441\u043e\u0432 \u00ab\u0437\u0430\u0448\u0438\u0432\u0430\u0435\u0442\u0441\u044f\u00bb \u043f\u0440\u044f\u043c\u043e \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440, \u0440\u0430\u0441\u0448\u0430\u0440\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043c\u0435\u0436\u0434\u0443 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u043c\u0438).<\/p>\n<h1><font color=\"#56A5EC\">\u0411\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c HTML5<\/font><\/h1>\n<p>  \u0421\u0442\u0430\u0442\u044c\u044f \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0430\u044f, \u043d\u0435 \u043e\u0442\u0447\u0430\u0438\u0432\u0430\u0439\u0442\u0435\u0441\u044c :0 \u0420\u0430\u0437\u0433\u043e\u0432\u0430\u0440\u0438\u0432\u0430\u044f \u043f\u0440\u043e HTML5 \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0435 \u043d\u043e\u0432\u044b\u0445 \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u043e\u0432, \u043d\u043e \u0438 \u043d\u043e\u0432\u044b\u0445 \u043c\u0435\u0442\u043e\u0434\u043e\u0432 API, \u043e\u043d (HTML5) \u043f\u0440\u0438\u043d\u0435\u0441 \u043c\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0433\u043e \u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0433\u043e, \u0432 \u0442.\u0447. \u043f\u043e \u043a\u0440\u043e\u0441\u0441\u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u0435. \u0410 \u0447\u0435\u0433\u043e \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0435 \u043f\u0440\u0438\u0434\u0443\u043c\u044b\u0432\u0430\u043b\u0438, \u0438 \u0444\u0430\u0439\u043b\u0438\u043a\u0438 \u00abproxy.php\u00bb \u0432 \u043a\u043e\u0440\u043d\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u0443\u0436\u0430\u0441\u043d\u044b\u0435 \u043a\u043e\u0441\u0442\u044b\u043b\u0438. <\/p>\n<h2><font color=\"#56A5EC\">Window.postMessage()<\/font><\/h2>\n<p>  \u041f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043c \u0441\u0435\u0431\u0435, \u0447\u0442\u043e \u0443 \u043d\u0430\u0441 \u0435\u0441\u0442\u044c \u0434\u0432\u0430 \u043e\u0431\u044a\u0435\u043a\u0442\u0430 window (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u2014 \u0442\u0435\u043a\u0443\u0449\u0435\u0435 \u043e\u043a\u043d\u043e \u0438 window \u043e\u0442 iframe \u0438\u043b\u0438 \u043f\u043e\u0441\u043b\u0435 window.open).<\/p>\n<p>  \u0421\u0442\u0440\u0430\u043d\u0438\u0446\u0430 \u043d\u0430 \u0434\u043e\u043c\u0435\u043d\u0435 abc.com \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u00ab\u0441\u0435\u043a\u0440\u0435\u0442\u043d\u043e\u0435\u00bb \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435 \u0432 \u0434\u0440\u0443\u0433\u043e\u0435 \u043e\u043a\u043d\u043e  <\/p>\n<pre><code class=\"javascript\">otherWindow.postMessage(message, targetOrigin); <\/code><\/pre>\n<p>  \u0421\u0442\u0440\u0430\u043d\u0438\u0446\u0430 \u043d\u0430 \u0434\u043e\u043c\u0435\u043d\u0435 xyz.com \u0441\u043b\u0443\u0448\u0430\u0435\u0442 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u043e\u0442\u043a\u0443\u0434\u0430 \u043e\u043d\u0438 \u043f\u0440\u0438\u0448\u043b\u0438  <\/p>\n<pre><code class=\"javascript\">window.addEventListener(&quot;message&quot;, receiveMessage, false); function receiveMessage(event) {  if (event.origin !== &quot;http:\/\/example.org:8080&quot;)  return;  \/\/ ... } <\/code><\/pre>\n<p>  \u0412 \u0446\u0435\u043b\u043e\u043c \u0442\u0430\u043a\u043e\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0432\u0435\u0440\u043d\u044b\u0439 \u2014 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c origin, \u043a\u0443\u0434\u0430 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c (\u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u0432 \u00ab\u043e\u043a\u043d\u043e\u00bb \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u043c\u0443), \u0438 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0442\u044c, \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u044f \u043e\u0442\u043a\u0443\u0434\u0430 \u043f\u0440\u0438\u0448\u043b\u043e \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435. \u041d\u043e \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0442\u0430\u043a \u0431\u044b\u0432\u0430\u0435\u0442 \u0440\u0435\u0434\u043a\u043e, \u0430 \u0447\u0430\u0449\u0435 \u043d\u0443\u0436\u043d\u043e \u0442\u0430\u043a\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u0434\u043b\u044f \u0432\u0441\u0435\u0433\u043e \u043f\u0440\u043e\u0435\u043a\u0442\u0430 (\u0432\u0441\u0435\u0445 \u043f\u043e\u0434\u0434\u043e\u043c\u0435\u043d\u043e\u0432)<\/p>\n<p>  <b>\u0423\u044f\u0437\u0432\u0438\u043c\u044b\u0439 \u043a\u043e\u0434!<\/b>  <\/p>\n<pre><code class=\"javascript\">if(message.orgin.indexOf(&quot;.example.com&quot;)!=-1) { \/* ... *\/ } <\/code><\/pre>\n<p>  \u0418 \u043f\u043e\u0440\u043e\u0439 \u043c\u043e\u0436\u043d\u043e \u0432\u0441\u0442\u0440\u0435\u0442\u0438\u0442\u044c \u0442\u0430\u043a\u043e\u0439 <b>\u0443\u044f\u0437\u0432\u0438\u043c\u044b\u0439<\/b> \u043a\u043e\u0434. example.com.attacker.com \u0442\u043e\u0436\u0435 \u0441\u043c\u0430\u0442\u0447\u0438\u0442\u0441\u044f (\u0434\u043e\u043c\u0435\u043d \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u0433\u043e). \u0422\u0430\u043a \u0447\u0442\u043e:<\/p>\n<ul>\n<li>\u041f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c, \u043a\u0443\u0434\u0430 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u043c \u0434\u0430\u043d\u043d\u044b\u0435<\/li>\n<li>\u041f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c, \u043e\u0442\u043a\u0443\u0434\u0430 \u0438\u0445 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438<\/li>\n<li>\u041f\u0435\u0440\u0435\u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u0441\u0432\u043e\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438, \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u043e\u0441\u044c \u043a\u0430\u043a \u0432\u044b\u0448\u0435<\/li>\n<\/ul>\n<h2><font color=\"#56A5EC\">HTTP access control (CORS)<\/font><\/h2>\n<p>  \u0418 \u0441\u043d\u043e\u0432\u0430 \u043f\u0440\u043e \u043a\u0440\u043e\u0441\u0441\u0434\u043e\u043c\u0435\u043d\u043d\u0443\u044e \u0440\u0430\u0431\u043e\u0442\u0443. CORS \u043a\u043b\u0435\u0432\u0430\u044f, \u043c\u043e\u0434\u043d\u0430\u044f, \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0430\u044f \u0448\u0442\u0443\u043a\u0430 \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0441\u043b\u043e\u0436\u043d\u043e \u043d\u0430\u043a\u043e\u0441\u044f\u0447\u0438\u0442\u044c. \u041e\u0447\u0435\u043d\u044c \u0441\u043b\u043e\u0436\u043d\u043e, \u043d\u043e\u2026 \u0431\u044b\u0432\u0430\u0435\u0442 \ud83d\ude42<\/p>\n<p>  \u041f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0442\u0430\u043a\u0436\u0435 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0443 \u0441\u043e\u043e\u0431\u0449\u0438\u0442\u044c, \u043a\u0430\u043a \u0435\u043c\u0443 \u043c\u043e\u0436\u043d\u043e \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u0432 \u043e\u0431\u0445\u043e\u0434 SOP. \u041f\u0440\u0438 \u043a\u0440\u043e\u0441\u0441\u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u0435 \u0438 \u043f\u0435\u0440\u0432\u043e\u043c \u0437\u0430\u043f\u0440\u043e\u0441\u0435 OPTIONS \u0441\u0435\u0440\u0432\u0435\u0440 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u0447\u0442\u043e-\u0442\u043e \u0442\u0438\u043f\u0430  <\/p>\n<pre><code class=\"bash\">Access-Control-Allow-Origin: * <\/code><\/pre>\n<p>  \u0418\u043b\u0438  <\/p>\n<pre><code class=\"bash\">Access-Control-Allow-Origin: example.com <\/code><\/pre>\n<p>  \u0412 \u043f\u0435\u0440\u0432\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0441\u043e\u043e\u0431\u0449\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u043c\u043e\u0436\u043d\u043e \u0432 \u043e\u0431\u0445\u043e\u0434 SOP \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u0441 \u043b\u044e\u0431\u043e\u0433\u043e \u0434\u043e\u043c\u0435\u043d\u0430, \u0432\u043e \u0432\u0442\u043e\u0440\u043e\u043c \u2014 \u0442\u043e\u043b\u044c\u043a\u043e \u0441 example.com. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c, \u043c\u043e\u0436\u043d\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u043c\u0435\u0442\u043e\u0434\u044b, \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u044d\u0442\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u043e \u0438 \u0442.\u0434.<\/p>\n<p>  \u041d\u043e \u043f\u043e \u0434\u0435\u0444\u043e\u043b\u0442\u0443 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u2014 cookies) \u0431\u0440\u0430\u0443\u0437\u0435\u0440 \u0432\u0441\u0435 \u0440\u0430\u0432\u043d\u043e \u043d\u0435 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442, \u0447\u0442\u043e \u0447\u0430\u0449\u0435 \u0432\u0441\u0435\u0433\u043e \u0438 \u043d\u0443\u0436\u043d\u043e. \u041d\u0443\u0436\u043d\u043e \u0434\u043e\u0431\u0430\u0432\u0438\u0442\u044c \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a  <\/p>\n<pre><code class=\"bash\">Access-Control-Allow-Credentials: true <\/code><\/pre>\n<p>  \u041a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u043e\u043e\u0431\u0449\u0438\u0442 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0443, \u0447\u0442\u043e \u0442\u0435\u043f\u0435\u0440\u044c \u0434\u0435\u043b\u0430\u0442\u044c \u043a\u0440\u043e\u0441\u0441\u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u044b \u0432\u043c\u0435\u0441\u0442\u0435 \u0441 \u043a\u0443\u043a\u0430\u043c\u0438 (\u043f\u043e\u0437\u0432\u043e\u043b\u0438\u0442 \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u0441 \u0441\u0435\u0441\u0441\u0438\u0435\u0439 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f). \u041d\u043e! \u0421\u0430\u043c\u043e\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0435 \u0447\u0442\u043e \u0443\u0436\u0435 \u043d\u0430\u043f\u0440\u0430\u0448\u0438\u0432\u0430\u044e\u0449\u0438\u0439\u0441\u044f \u043c\u0438\u0441\u043a\u043e\u043d\u0444\u0438\u0433 Allow-Origin: * (\u043b\u044e\u0431\u043e\u0439 \u0441\u0430\u0439\u0442) + Allow-Credentials \u0432\u043c\u0435\u0441\u0442\u0435 \u043d\u0435 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442. \u0411\u0440\u0430\u0443\u0437\u0435\u0440 \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c cookies \u0438 \u044d\u0442\u043e \u0445\u043e\u0440\u043e\u0448\u043e (\u0442\u0430\u043a \u043a\u0430\u043a \u0432 \u044d\u0442\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u043d\u0435 \u0441\u043c\u043e\u0436\u0435\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043e\u0442 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0441 \u0441\u0435\u0441\u0441\u0438\u0435\u0439). \u0422.\u0435. \u0434\u0430\u043d\u043d\u0430\u044f \u043e\u043f\u0446\u0438\u044f \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0442\u043e\u0433\u0434\u0430, \u043a\u043e\u0433\u0434\u0430 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e \u0443\u043a\u0430\u0437\u0430\u043d\u044b \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u043d\u044b\u0435 \u0434\u043e\u043c\u0435\u043d\u044b.<\/p>\n<p>  \u041f\u0440\u043e \u00ab\u0431\u044b\u0432\u0430\u0435\u0442\u00bb. \u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u043d\u044b\u0435 \u0434\u043e\u043c\u0435\u043d\u044b \u0438\u0437 GET \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 (\u0437\u0430\u043d\u0430\u0432\u0435\u0441).<\/p>\n<h2><font color=\"#56A5EC\">Web Sockets<\/font><\/h2>\n<p>  \u0417\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u044f Web Sockets (WS) \u043f\u0440\u0435\u0436\u0434\u0435 \u0432\u0441\u0435\u0433\u043e \u0441\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0434\u043b\u044f \u043d\u0438\u0445 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043e\u0432 \u0441 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0437\u043d\u0430\u0447\u0438\u043c\u044b\u043c\u0438 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f\u043c\u0438. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0437\u0434\u0435\u0441\u044c \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043e\u0431\u0449\u0438\u0435 \u0432\u0435\u0449\u0438<\/p>\n<ul>\n<li>\u0412 WS \u043d\u0435\u0442 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438 (\u043a\u0430\u0436\u0434\u044b\u0439 \u0434\u043e\u043f\u0438\u043b\u0438\u0432\u0430\u0435\u0442 \u0441\u0430\u043c)<\/li>\n<li>WS \u2014 \u043f\u0435\u0440\u0435\u0434\u0430\u044e\u0442 \u0434\u0430\u043d\u043d\u044b\u0435 \u0432 \u043d\u0435\u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435. \u0421\u043b\u0435\u0434\u0443\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c WSS \u0434\u043b\u044f \u0432\u0430\u0436\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445<\/li>\n<li>\u0412\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u044e \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 \u043d\u0438\u0445 \u043d\u0438\u043a\u0442\u043e \u043d\u0435 \u043e\u0442\u043c\u0435\u043d\u044f\u043b, \u043a\u0430\u043a \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 (\u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0442\u0430\u043a\u0436\u0435 \u043c\u043e\u0436\u0435\u0442 \u043f\u0438\u0441\u0430\u0442\u044c \u0441\u0432\u043e\u0438 \u0434\u0430\u043d\u043d\u044b\u0435 \u0432 \u0441\u043e\u043a\u0435\u0442), \u0442\u0430\u043a \u0438 \u043d\u0430 \u043a\u043b\u0438\u0435\u043d\u0442\u0435<\/li>\n<li>\u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 Origin, \u043e\u0442\u043a\u0443\u0434\u0430 \u0434\u0430\u043d\u043d\u044b\u0435 \u043f\u0440\u0438\u0448\u043b\u0438, \u043d\u0435 \u043e\u0442\u043c\u0435\u043d\u044f\u0435\u0442 \u043f.1<\/li>\n<li>&#8230;<\/li>\n<\/ul>\n<p>  \u0417\u0434\u0435\u0441\u044c \u044f \u0443\u0436\u0435 \u043f\u0440\u043e\u0441\u0442\u043e \u0441\u043e\u0448\u043b\u044e\u0441\u044c \u043d\u0430 owasp.org, \u0437\u0430\u043d\u044f\u0442\u043e\u0435 \u0447\u0442\u0438\u0432\u043e \u2014 <a href=\"https:\/\/www.owasp.org\/index.php\/HTML5_Security_Cheat_Sheet\">www.owasp.org\/index.php\/HTML5_Security_Cheat_Sheet<\/a>, \u0445\u043e\u0442\u044c \u0438 \u043d\u0435\u043f\u043e\u043b\u043d\u043e\u0435 (\u0432 \u0434\u043e\u0431\u0430\u0432\u043a\u0443 \u043f\u0440\u043e service workers \u2014 <a href=\"http:\/\/sirdarckcat.blogspot.ru\/2015\/05\/service-workers-secure-open-redirect.html\">sirdarckcat.blogspot.ru\/2015\/05\/service-workers-secure-open-redirect.html<\/a>, <a href=\"http:\/\/sirdarckcat.blogspot.ru\/2015\/05\/service-workers-new-apis-new-vulns-fun.html\">sirdarckcat.blogspot.ru\/2015\/05\/service-workers-new-apis-new-vulns-fun.html<\/a>)<\/p>\n<h2><font color=\"#56A5EC\">Content Security Policy<\/font><\/h2>\n<p>  \u0412 \u0446\u0435\u043b\u043e\u043c \u0442\u043e \u0431\u0440\u0430\u0443\u0437\u0435\u0440 \u043e\u043d \u0442\u0430\u043a\u043e\u0439 \u2014 \u0434\u043e\u0432\u0435\u0440\u0447\u0438\u0432\u044b\u0439, \u0435\u043c\u0443 \u043e\u0442\u043a\u0443\u0434\u0430 \u0441\u043a\u0430\u0437\u0430\u043b\u0438 \u0434\u0430\u043d\u043d\u044b\u0435 \u0437\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c \u2014 CSS\/JS\/\u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0438, \u043e\u043d \u043e\u0442 \u0442\u0443\u0434\u0430 \u0438 \u0437\u0430\u0433\u0440\u0443\u0437\u0438\u043b. \u041f\u043e\u043b\u0435\u0437\u043d\u043e \u0438 \u0434\u043b\u044f \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u0433\u043e, \u043f\u0440\u043e\u0441\u0442\u043e \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0442\u044c \u0441\u0432\u043e\u0439 \u0437\u043b\u043e\u0431\u043d\u044b\u0439 js \u0444\u0430\u0439\u043b \u0441 \u0434\u0440\u0443\u0433\u043e\u0433\u043e \u0434\u043e\u043c\u0435\u043d\u0430 \u043f\u0440\u0438 XSS \u0430\u0442\u0430\u043a\u0435. \u0427\u0442\u043e\u0431\u044b \u0441\u043d\u0438\u0437\u0438\u0442\u044c \u0440\u0438\u0441\u043a\u0438 \u043e\u0442 XSS \u0430\u0442\u0430\u043a (\u0438 \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e) \u043f\u0440\u0438\u0434\u0443\u043c\u0430\u043b\u0438 Content Security Policy (CSP).<\/p>\n<p>  \u042d\u0442\u043e\u0442 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0441\u043e\u043e\u0431\u0449\u0430\u0435\u0442 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0443, \u043e\u0442\u043a\u0443\u0434\u0430 \u043c\u043e\u0436\u043d\u043e \u0433\u0440\u0443\u0437\u0438\u0442\u044c \u0440\u0435\u0441\u0443\u0440\u0441\u044b (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u2014 js), \u0430 \u043e\u0442\u043a\u0443\u0434\u0430 \u043d\u0435\u043b\u044c\u0437\u044f. \u0421\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0434\u0430\u0436\u0435 \u0438\u043c\u0435\u044f \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0432\u043d\u0435\u0434\u0440\u0438\u0442\u044c js \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u0435\u0433\u043e \u043d\u0435 \u0441\u043c\u043e\u0436\u0435\u0442 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0435\u0441\u043b\u0438 \u0437\u0430\u043f\u0440\u0435\u0449\u0435\u043d\u044b inline js + \u0432\u043d\u0435\u0448\u043d\u0438\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0441 \u0434\u043e\u0432\u0435\u0440\u0435\u043d\u043d\u044b\u0445 \u0434\u043e\u043c\u0435\u043d\u043e\u0432).<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/post_images\/b54\/ead\/b59\/b54eadb59cdfef5166e12d5f1fb16f16.png\" alt=\"image\"\/><br \/>  <i>\u041e\u0448\u0438\u0431\u043a\u0430 \u043f\u043e\u0434\u0433\u0440\u0443\u0437\u043a\u0438 JS \u0444\u0430\u0439\u043b\u0430 \u0441 \u0434\u043e\u043c\u0435\u043d\u0430, \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043d\u0435\u0442 \u0432 \u00ab\u0431\u0435\u043b\u043e\u043c\u00bb \u0441\u043f\u0438\u0441\u043a\u0435<\/i><\/p>\n<p>  \u041d\u043e \u0431\u044b\u0432\u0430\u0435\u0442 \u0442\u0430\u043a, \u0447\u0442\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0432\u0441\u0435-\u0442\u0430\u043a\u0438 \u043c\u043e\u0436\u0435\u0442 \u0437\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c \u0441\u0432\u043e\u0439 js \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u0435\u0433\u043e, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u0435\u0441\u043b\u0438 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f (\u043a \u043f\u0438\u0441\u044c\u043c\u0443, \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044e) \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u043d\u0430 \u0434\u043e\u043c\u0435\u043d\u0435 \u0438\u0437 \u0431\u0435\u043b\u043e\u0433\u043e \u0441\u043f\u0438\u0441\u043a\u0430.<\/p>\n<p>  \u0411\u043e\u043b\u0435\u0435 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e CSP \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u043b\u0441\u044f \u043c\u043d\u043e\u0433\u043e \u0440\u0430\u0437, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u043d\u0430 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0439 \u0432\u0441\u0442\u0440\u0435\u0447\u0435 OWASP Russia \u0432 \u041c\u043e\u0441\u043a\u0432\u0435, \u043f\u0440\u0435\u0437\u0435\u043d\u0442\u0430\u0446\u0438\u044f \u2014 <a href=\"http:\/\/www.slideshare.net\/OWASP-Russia\/yourprezi-49135416\">www.slideshare.net\/OWASP-Russia\/yourprezi-49135416<\/a><\/p>\n<h1><font color=\"#56A5EC\">Flash<\/font><\/h1>\n<p>  <a href=\"https:\/\/sergeybelove.ru\/nyancat\/\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/post_images\/861\/006\/7c3\/8610067c3ed6a44fb1a3f6621004231f.jpg\" alt=\"image\"\/><br \/>  <\/a><br \/>  \u042f \u044d\u0442\u043e \u0441\u0435\u0440\u044c\u0435\u0437\u043d\u043e? \u041f\u0440\u043e flash? \u0412\u043e\u043e\u0431\u0449\u0435 \u2014 \u0434\u0430. \u0414\u043b\u044f \u043a\u043e\u0433\u043e-\u0442\u043e \u044d\u0442\u043e \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u043e, \u0430 \u043a \u043c\u043d\u043e\u0433\u0438\u0445 \u043e\u043d \u0438\u0441\u0442\u043e\u0440\u0438\u0447\u0435\u0441\u043a\u0438 \u0433\u0434\u0435-\u0442\u043e \u0435\u0449\u0435 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442. \u0414\u0430 \u0443\u0436\u0435 \u0432 \u044d\u0442\u043e\u043c \u0433\u043e\u0434\u0443 \u0431\u044b\u043b \u043e\u0434\u0438\u043d \u043c\u0430\u0441\u0448\u0442\u0430\u0431\u043d\u044b\u0439 \u0441\u043b\u0443\u0447\u0430\u0439 \u0441 \u0444\u043b\u0435\u0448\u0435\u043c \u0441 \u00ab\u043d\u043e\u0432\u043e-\u0441\u0442\u0430\u0440\u043e\u0439\u00bb \u0431\u0430\u0433\u043e\u0439, \u043f\u0440\u043e \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432 \u0440\u0443\u043d\u0435\u0442\u0435 \u0442\u0430\u043a \u043d\u0438\u043a\u0442\u043e \u043d\u0435 \u043d\u0430\u043f\u0438\u0441\u0430\u043b \ud83d\ude41 \u041d\u043e \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u043f\u043e \u043f\u043e\u0440\u044f\u0434\u043a\u0443.<\/p>\n<h2><font color=\"#56A5EC\">crossdomain.xml<\/font><\/h2>\n<p>  \u0421\u0430\u043c\u043e\u0435 \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u043e\u0435 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0435 \u0441 \u0444\u043b\u044d\u0448\u0435\u043c \u2014 \u044d\u0442\u043e \u0444\u0430\u0439\u043b crossdomain.xml. \u042d\u0442\u043e xml \u0444\u0430\u0439\u043b, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0444\u043b\u044d\u0448 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044e \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0443 \u0440\u0430\u0431\u043e\u0442\u044b \u0441 \u0434\u0430\u043d\u043d\u044b\u043c \u0434\u043e\u043c\u0435\u043d\u043e\u043c (\u0441\u043d\u043e\u0432\u0430 \u0440\u0435\u0447\u044c \u043f\u0440\u043e SOP). \u0418 \u0437\u0434\u0435\u0441\u044c \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f \u043a\u0430\u043a \u0441 CORS \u043d\u0435 \u043f\u0440\u043e\u0439\u0434\u0435\u0442. \u0415\u0441\u043b\u0438 \u0443\u043a\u0430\u0437\u0430\u043d\u043e, \u0447\u0442\u043e \u043b\u044e\u0431\u043e\u0439 \u0434\u043e\u043c\u0435\u043d \u0438\u043c\u0435\u0435\u0442 \u0434\u043e\u0441\u0442\u0443\u043f (\u0432\u043c\u0435\u0441\u0442\u0435 \u0441 \u043a\u0443\u043a\u0430\u043c\u0438) \u2014 \u0437\u043d\u0430\u0447\u0438\u0442 \u043b\u044e\u0431\u043e\u0439. \u0418 \u044d\u0442\u043e, \u043a\u043e\u043d\u0435\u0447\u043d\u043e, \u043f\u043b\u043e\u0445\u043e. \u041f\u0440\u0438\u043c\u0435\u0440 \u0442\u0430\u043a\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430:<\/p>\n<pre><code class=\"xml\">&lt;cross-domain-policy&gt; &lt;allow-access-from domain=&quot;*&quot; to-ports=&quot;80&quot;\/&gt; &lt;\/cross-domain-policy&gt; <\/code><\/pre>\n<p>  \u0424\u043b\u044d\u0448\u043a\u0430 \u0441 \u043b\u044e\u0431\u043e\u0433\u043e \u0434\u043e\u043c\u0435\u043d\u0430 \u043c\u043e\u0436\u0435\u0442 \u043e\u0431\u0440\u0430\u0449\u0430\u0442\u044c\u0441\u044f \u043a \u0434\u0430\u043d\u043d\u043e\u043c\u0443 \u0440\u0435\u0441\u0443\u0440\u0441\u0443 (\u0433\u0434\u0435 \u0440\u0430\u0441\u043f\u043e\u043b\u043e\u0436\u0435\u043d \u0442\u0430\u043a\u043e\u0439 crossdomain) \u0432\u043c\u0435\u0441\u0442\u0435 \u0441 \u043a\u0443\u043a\u0430\u043c\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u041d\u043e \u044d\u0442\u043e \u0441\u0430\u043c\u044b\u0439 \u0447\u0430\u0441\u0442\u044b\u0439 \u0441\u043b\u0443\u0447\u0430\u0439, \u0431\u044b\u0432\u0430\u0435\u0442 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0435\u0435.<\/p>\n<p>  \u0418\u0437 \u043e\u043f\u044b\u0442\u0430 \u0431\u0430\u0433\u0445\u0430\u043d\u0442\u0438\u043d\u0433\u0430 \u043d\u0430 wamba.com \u2014 \u0443 \u043d\u0438\u0445 \u0431\u044b\u043b\u043e \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u0434\u043e\u043c\u0435\u043d\u043e\u0432 \u0432 \u044d\u0442\u043e\u043c \u0444\u0430\u0439\u043b\u0435 (\u043c\u043d\u043e\u0433\u043e \u0440\u0430\u0437 \u043f\u0435\u0440\u0435\u0435\u0437\u0436\u0430\u043b\u0438 \u0438 \u043c\u0435\u043d\u044f\u043b\u0438 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 \u0440\u0435\u0441\u0443\u0440\u0441\u0430). \u041a\u0430\u043a \u0438\u0442\u043e\u0433 \u0432 \u0444\u0430\u0439\u043b\u0435 \u043e\u043a\u0430\u0437\u0430\u043b\u0438\u0441\u044c \u0434\u043e\u043c\u0435\u043d\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0443\u0436\u0435 \u0434\u0430\u0432\u043d\u043e \u0438\u0441\u0442\u0435\u043a\u043b\u0438. \u041c\u043e\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u0438\u0445 \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0438 \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u0442\u044c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 wamba.com. \u0414\u0430\u043b\u0438 3 \u0442\u044b\u0441\u044f\u0447\u0438 (:<\/p>\n<h2><font color=\"#56A5EC\">XSS \u0447\u0435\u0440\u0435\u0437 Flash<\/font><\/h2>\n<p>  XSS \u0432\u043e\u0437\u043c\u043e\u0436\u0435\u043d \u0438 \u0447\u0435\u0440\u0435\u0437 Flash \u0444\u0430\u0439\u043b\u044b. \u041f\u0440\u0438\u043c\u0435\u0440 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0433\u043e AS \u043a\u043e\u0434\u0430  <\/p>\n<pre><code class=\"actionscript\">getURL(_root.URI,'_targetFrame');  <\/code><\/pre>\n<p>  \u041f\u0440\u0438\u043c\u0435\u0440 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438:  <\/p>\n<pre><code class=\"bash\">http:\/\/victim\/file.swf?URI=javascript:evilcode <\/code><\/pre>\n<p>  \u0424\u043b\u044d\u0448 \u043f\u043e\u043f\u044b\u0442\u0430\u0435\u0442\u0441\u044f \u043f\u0435\u0440\u0435\u0439\u0442\u0438 \u043f\u043e \u0430\u0434\u0440\u0435\u0441\u0443 javascript: \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0439 JS \u043a\u043e\u0434. SWF \u043b\u0435\u0433\u043a\u043e \u0434\u0435\u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0442\u0441\u044f, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a\u0438 (\u043d\u0430\u043f\u0440\u044f\u043c\u0443\u044e) \u043d\u0435 \u043d\u0443\u0436\u043d\u044b. \u041f\u043e\u0447\u0438\u0442\u0430\u0442\u044c \u0431\u043e\u043b\u0435\u0435 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e \u043f\u0440\u043e \u044d\u0442\u043e\u0442 \u0441\u043f\u043e\u0441\u043e\u0431 \u0430\u0442\u0430\u043a\u0438 \u0438 \u043d\u0430\u0439\u0442\u0438 \u0441\u043f\u0438\u0441\u043e\u043a \u0443\u044f\u0432\u0438\u0437\u043c\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u043c\u043e\u0436\u043d\u043e \u043d\u0430 OWASP \u2014 <a href=\"https:\/\/www.owasp.org\/index.php\/Testing_for_Cross_site_flashing_\">www.owasp.org\/index.php\/Testing_for_Cross_site_flashing_<\/a>(OTG-CLIENT-008)<\/p>\n<h2><font color=\"#56A5EC\">CVE-2011-2461 IS BACK!<\/font><\/h2>\n<p>  \u041d\u0443 \u0430 \u0442\u0435\u043f\u0435\u0440\u044c \u0438\u0437 \u0441\u0432\u0435\u0436\u0435\u043d\u044c\u043a\u043e\u0433\u043e \u043f\u0440\u043e \u0444\u043b\u044d\u0448 \u0438\u0437 2015. \u042d\u0442\u043e\u0439 \u0432\u0435\u0441\u043d\u043e\u0439 \u043d\u0430 Troopers \u0431\u044b\u043b \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d \u0440\u0430\u0431\u043e\u0447\u0438\u0439 PoC \u0438 \u0442\u0443\u043b\u0437\u044b \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430, \u043a\u0430\u043a \u043f\u0440\u043e\u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043e\u0434\u043d\u0443 \u0441\u0442\u0430\u0440\u0443\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432\u043e \u0444\u043b\u044d\u0448 \u0444\u0430\u0439\u043b\u0430\u0445, \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u044b\u0445 \u043d\u0430 Adobe Flex (\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438). \u042d\u0442\u043e \u043e\u0447\u0435\u043d\u044c \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u044b\u0439 \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a \u0434\u043b\u044f \u0444\u043b\u044d\u0448 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432. \u0412\u0435\u043a\u0442\u043e\u0440 \u0442\u0430\u043a\u043e\u0439 \u2014 \u043d\u0430\u0445\u043e\u0434\u0438\u043c \u043d\u0430 \u0440\u0435\u0441\u0443\u0440\u0441\u0435 \u0442\u0430\u043a\u0443\u044e \u0444\u043b\u044d\u0448\u043a\u0443 (\u0441\u043e\u0431\u0440\u0430\u043d\u043d\u0443\u044e \u0441 \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u043c Adobe Flex), \u0433\u0435\u043d\u0435\u0440\u0438\u043c \u0434\u043b\u044f \u043d\u0435\u0435 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0439 \u043f\u044d\u0439\u043b\u043e\u0430\u0434 (\u0440\u0435\u0441\u0443\u0440\u0441) \u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u043c. \u0418\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0444\u043b\u044d\u0448\u043a\u0430 \u0441 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u043c\u043e\u0433\u043e \u0434\u043e\u043c\u0435\u043d\u0430 \u0441 \u043d\u0430\u0448\u0435\u0439 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u043e\u0439. \u0418\u0442\u043e\u0433 \u2014 \u0441\u043d\u043e\u0432\u0430 \u043e\u0431\u0445\u043e\u0434 SOP.<\/p>\n<p>  \u0414\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0442\u0430\u043a\u0438\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 (\u0443\u044f\u0437\u0432\u0438\u043c SWF \u0438\u043b\u0438 \u043d\u0435\u0442) \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0442\u0443\u043b\u0437\u0443 \u2014 <a href=\"https:\/\/github.com\/ikkisoft\/ParrotNG\/\">github.com\/ikkisoft\/ParrotNG<\/a>, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f \u043e\u0447\u0435\u043d\u044c \u043f\u0440\u043e\u0441\u0442\u043e  <\/p>\n<pre><code class=\"bash\">java -jar parrotng_v0.2.jar &lt;SWF File | Directory&gt; <\/code><\/pre>\n<p>  \u0411\u043e\u043b\u044c\u0448\u0435 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438  <\/p>\n<ul>\n<li><a href=\"http:\/\/blog.nibblesec.org\/2015\/03\/the-old-is-new-again-cve-2011-2461-is.html\">blog.nibblesec.org\/2015\/03\/the-old-is-new-again-cve-2011-2461-is.html<\/a><\/li>\n<li><a href=\"http:\/\/www.slideshare.net\/ikkisoft\/the-old-is-new-again-cve20112461-is-back\">www.slideshare.net\/ikkisoft\/the-old-is-new-again-cve20112461-is-back<\/a><\/li>\n<\/ul>\n<p>  \u0410\u0432\u0442\u043e\u0440\u044b \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430\u0448\u043b\u0438 \u0442\u0430\u043a\u0438\u0435 \u0444\u043b\u044d\u0448\u043a\u0438 \u0438 \u043d\u0430 \u0433\u0443\u0433\u043b\u0435, \u0438 \u043d\u0430 \u0434\u0440\u0443\u0433\u0438\u0445 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0445 \u0440\u0435\u0441\u0443\u0440\u0441\u0430\u0445 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 Qiwi, Yandex). \u0421\u0432\u043e\u0451 \u00ab\u0441\u0440\u0443\u0431\u0438\u043b\u0438\u00bb \ud83d\ude42<\/p>\n<h1><font color=\"#56A5EC\">\u0420\u0430\u0441\u043a\u0440\u044b\u0442\u0438\u0435 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0447\u0435\u0440\u0435\u0437 JSONP<\/font><\/h1>\n<p>  \u042f \u0443\u0436\u0435 \u043f\u0438\u0441\u0430\u043b \u043e\u0431 \u044d\u0442\u043e\u043c \u0432 \u0441\u0442\u0430\u0442\u044c\u0435 \u043f\u0440\u043e \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c API, \u043d\u043e \u0441\u0442\u043e\u0438\u0442 \u043f\u043e\u0432\u0442\u043e\u0440\u0438\u0442\u044c\u0441\u044f, \u0434\u043b\u044f \u043f\u043e\u043b\u043d\u043e\u0442\u044b \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0438.<br \/>  \u0418\u043d\u043e\u0433\u0434\u0430 API \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u043b\u044f \u043a\u0430\u043a\u043e\u0433\u043e-\u0442\u043e \u043a\u043e\u043d\u0435\u0447\u043d\u043e\u0433\u043e \u044e\u0437\u0435\u0440\u0430, \u0430 \u043f\u043e\u0440\u043e\u0439 \u0438 \u0434\u043b\u044f \u043f\u0435\u0440\u0435\u0441\u044b\u043b\u043a\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 \u043f\u0440\u043e\u0435\u043a\u0442\u0430. \u0427\u0430\u0441\u0442\u043e \u044d\u0442\u043e \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u0435\u0442\u0441\u044f \u043d\u0430 \u0431\u043e\u043b\u044c\u0448\u0438\u0445, \u043a\u0440\u0443\u043f\u043d\u044b\u0445 \u0441\u0430\u0439\u0442\u0430\u0445 \u0441 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u043c\u0438 \u0434\u043e\u043c\u0435\u043d\u0430\u043c\u0438. \u0418 \u043a\u0430\u043a-\u0442\u043e \u043d\u0430\u0434\u043e \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u043e\u0432\u0430\u0442\u044c \u043d\u0430 \u0441\u0442\u043e\u0440\u043e\u043d\u0435 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u043c\u0435\u0436\u0434\u0443 \u0434\u043e\u043c\u0435\u043d\u0430\u043c\u0438, \u0438 \u0442\u0443\u0442 \u043d\u0430 \u043f\u043e\u043c\u043e\u0449\u044c \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 JSONP. \u042d\u0442\u043e \u0442\u0430\u043a\u043e\u0439 JSON \u0441 \u043d\u0443\u0436\u043d\u044b\u043c\u0438 \u043d\u0430 \u0434\u043e\u043c\u0435\u043d\u0435 1, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0432 callback. \u041f\u0440\u0438 \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u0438 \u043d\u0430 \u0434\u043e\u043c\u0435\u043d 1 \u044e\u0437\u0435\u0440 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442 \u0441\u0432\u043e\u0438 \u043a\u0443\u043a\u0438, \u0438 \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c, \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u043e\u0432\u0430\u043d \u043b\u0438 \u043e\u043d \u0438 \u0432\u044b\u0434\u0430\u0442\u044c \u043d\u0443\u0436\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435. \u041d\u0430 \u0432\u0442\u043e\u0440\u043e\u043c \u0434\u043e\u043c\u0435\u043d\u0435 \u0432\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0439 JS<\/p>\n<pre><code class=\"javascript\">&lt;script type=&quot;application\/javascript&quot;         src=&quot;http:\/\/server1.example.com\/api\/getUserInfo?jsonp=parseResponse&quot;&gt; &lt;\/script&gt; <\/code><\/pre>\n<p>  \u0441 \u0443\u0436\u0435 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 parseResponse. \u041d\u043e \u0441\u0443\u0442\u044c \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u043c\u043e\u0436\u0435\u0442 \u0442\u0430\u043a\u0436\u0435 \u0432\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043d\u0430 \u0441\u0432\u043e\u0435\u043c \u0434\u043e\u043c\u0435\u043d\u0435 \u044d\u0442\u043e\u0442 \u0441\u043a\u0440\u0438\u043f\u0442, \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c \u0441\u0432\u043e\u0439 callback \u0438, \u0435\u0441\u043b\u0438 \u0442\u0430\u043c sensetive \u0434\u0430\u043d\u043d\u044b\u0435 \u2014 \u043a\u0430\u043a-\u0442\u043e \u0438\u0445 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c. \u041f\u0440\u0435\u043a\u0440\u0430\u0441\u043d\u044b\u0439 \u043f\u0440\u0438\u043c\u0435\u0440 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u043e\u0434\u043e\u0431\u043d\u043e\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d \u0432 \u0441\u0442\u0430\u0442\u044c\u0435 <a href=\"http:\/\/habrahabr.ru\/post\/186160\/\">\u00ab\u0421\u0440\u0430\u0436\u0430\u044f\u0441\u044c \u0441 \u0430\u043d\u043e\u043d\u0438\u043c\u043d\u043e\u0441\u0442\u044c\u044e\u00bb<\/a>.<\/p>\n<h1><font color=\"#56A5EC\">X-Frame-Options<\/font><\/h1>\n<p>  \u0412\u0440\u043e\u0434\u0435 \u043e\u0431 \u044d\u0442\u043e\u043c 1000 \u0438 1 \u0440\u0430\u0437 \u0441\u043a\u0430\u0437\u0430\u043b\u0438, \u043d\u043e \u0441\u043d\u043e\u0432\u0430 \u043f\u043e\u0432\u0442\u043e\u0440\u0438\u043c. \u041a\u0430\u0436\u0434\u044b\u0439 \u0440\u0435\u0441\u0443\u0440\u0441 \u0431\u0435\u0437 \u0434\u043e\u043f. \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043a \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u044c \u0432\u043e \u0444\u0440\u0435\u0439\u043c\u0435. \u0424\u0440\u0435\u0439\u043c \u0433\u0440\u0443\u0437\u0438\u0442\u0441\u044f \u0441 \u043a\u0443\u043a\u0430\u043c\u0438 \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0442.\u0435. \u0432\u043e \u0444\u0440\u0435\u0439\u043c\u0435 \u043e\u043d \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0440\u0435\u0441\u0443\u0440\u0441 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u043c (\u0435\u0441\u043b\u0438 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u043e\u0432\u0430\u043b\u0441\u044f, \u043a\u043e\u043d\u0435\u0447\u043d\u043e \u0436\u0435). \u0414\u0430\u043d\u043d\u044b\u0439 \u0444\u0440\u0435\u0439\u043c \u0432\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u043c \u043d\u0430 \u0441\u0432\u043e\u044e \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443, \u043f\u043e\u0432\u0435\u0440\u0445 \u0440\u0438\u0441\u0443\u0435\u0442\u0441\u044f \u0447\u0442\u043e \u043b\u0438\u0431\u043e \u043f\u0440\u0438\u0437\u044b\u0432\u0430\u044e\u0449\u0435\u0435 \u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044e (\u043d\u0430\u0436\u0430\u0442\u044c \u043d\u0430 \u043a\u043d\u043e\u043f\u043a\u0443 \u0438 \u0442.\u043f.), \u044e\u0437\u0435\u0440 \u043a\u043b\u0438\u043a\u0430\u0435\u0442, \u043d\u043e \u043f\u043e \u0444\u0430\u043a\u0442\u0443 \u043e\u043d \u043a\u043b\u0438\u043a\u0430\u0435\u0442 \u043d\u0430 \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u044b \u0432\u043e \u0444\u0440\u0435\u0439\u043c\u0435 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u2014 \u043f\u043e\u0434\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043d\u0430 \u0433\u0440\u0443\u043f\u043f\u044b). \u0410\u0442\u0430\u043a\u0430 \u043d\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f Clickjacking.<\/p>\n<p>  X-Frame-Options \u0432 \u043e\u0442\u0432\u0435\u0442\u0435 \u0432\u0435\u0431-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442  <\/p>\n<ul>\n<li>\u041f\u043e\u043b\u043d\u043e\u0441\u0442\u044c\u044e \u0437\u0430\u043f\u0440\u0435\u0442\u0438\u0442\u044c \u043f\u043e\u043a\u0430\u0437 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b \u0432\u043e \u0444\u0440\u0435\u0439\u043c\u0435<\/li>\n<li>\u0427\u0430\u0441\u0442\u0438\u0447\u043d\u043e \u0437\u0430\u043f\u0440\u0435\u0442\u0438\u0442\u044c (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0440\u0430\u0437\u0440\u0435\u0448\u0438\u0442\u044c \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u043b\u044f \u0442\u043e\u0433\u043e \u0436\u0435 origin)<\/li>\n<\/ul>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/post_images\/9af\/f2c\/c8d\/9aff2cc8d831d0e4cb03b0ca6d0e9707.jpg\" alt=\"image\"\/><\/p>\n<p>  <a href=\"http:\/\/habrahabr.ru\/post\/186616\/\">\u0421\u0442\u0430\u0442\u044c\u044f \u043f\u0440\u043e clickJacking \u0432 \u0412\u041a\u043e\u043d\u0442\u0430\u043a\u0442\u0435<\/a><\/p>\n<h1><font color=\"#56A5EC\">Extensions \/ SmartTV<\/font><\/h1>\n<p>  \u0414\u043b\u044f \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u044f \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0435\u0439 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430 \u0435\u0441\u0442\u044c \u043f\u043b\u0430\u0433\u0438\u043d\u044b (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u2014 Flash), \u0430 \u0435\u0441\u0442\u044c \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u044f. \u0412\u0442\u043e\u0440\u044b\u0435 \u043f\u0438\u0448\u0443\u0442\u0441\u044f \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u043a\u0430\u043a \u0440\u0430\u0437 HTML\/CSS\/JS, \u043e \u0447\u0435\u043c \u0438 \u0438\u0434\u0435\u0442 \u0440\u0435\u0447\u044c \u0432 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435. \u041f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0434\u043b\u044f SmartTV \u043f\u0438\u0448\u0443\u0442\u0441\u044f \u043f\u043e \u0441\u0445\u043e\u0436\u0435\u043c\u0443 \u0441\u043f\u043e\u0441\u043e\u0431\u0443, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u043d\u043e\u0435 API \u0442\u0435\u043b\u0435\u0432\u0438\u0437\u043e\u0440\u043e\u0432 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u2014 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u043a\u0430\u043c\u0435\u0440\u0435). \u0418 \u0435\u0441\u0442\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0438 \u0442\u0443\u0442 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u043a\u043e\u0441\u044f\u0447\u0438\u0442\u044c. \u041f\u0440\u043e \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0439 \u044f \u0443\u0436\u0435 <a href=\"http:\/\/habrahabr.ru\/company\/dsec\/blog\/192294\/\">\u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u043b<\/a>, \u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c SmarTV \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 (\u0438 \u0432\u0435\u043a\u0442\u043e\u0440\u044b \u0430\u0442\u0430\u043a \u043d\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 SmartTV) \u043c\u044b \u043e\u0431\u0441\u0443\u0434\u0438\u043c \u043f\u043e\u0437\u0436\u0435. \u041e\u0441\u0442\u0430\u0432\u043b\u044e \u0442\u043e\u043b\u044c\u043a\u043e \u0432\u0438\u0434\u0435\u043e<\/p>\n<p>  <iframe loading=\"lazy\" width=\"560\" height=\"349\" src=\"\/\/www.youtube.com\/embed\/5Nr-taiAC6s?wmode=opaque\" frameborder=\"0\" allowfullscreen><\/iframe><\/p>\n<h1><font color=\"#56A5EC\">\u041d\u0430 \u0434\u0435\u0441\u0435\u0440\u0442<\/font><\/h1>\n<p>  \u041d\u0443 \u0430 \u0435\u0441\u043b\u0438 \u0434\u043b\u044f \u043a\u043e\u0433\u043e-\u0442\u043e \u0438\u0437 \u0447\u0438\u0442\u0430\u0442\u0435\u043b\u0435\u0439 \u0444\u0440\u043e\u043d\u0442\u0435\u043d\u0434 \u044d\u0442\u043e \u2014 \u00ab\u042f \u041f\u0420\u041e\u0421\u0422\u041e \u041f\u0418\u0428\u0423 CSS \u0418 \u0412\u0421\u0422\u0410\u0412\u041b\u042f\u042e \u041a\u0410\u0420\u0422\u0418\u041d\u041a\u0418! \u0420\u0410\u0421\u0421\u041a\u0410\u0416\u0418 \u041c\u041d\u0415 \u041f\u0420\u041e \u0411\u0415\u0417\u041e\u041f\u0410\u0421\u041d\u041e\u0421\u0422\u042c!\u00bb\u2026 \u0442\u043e \u0438 \u0432\u043e\u0442 \u0438\u0441\u0442\u043e\u0440\u0438\u044f.<\/p>\n<p>  \u041f\u0440\u0438 \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0435 (\u0432 \u00ab\u0442\u0438\u043f\u0438\u0447\u043d\u044b\u0445\u00bb \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445) \u043f\u043e \u0441\u0441\u044b\u043b\u043a\u0435  <\/p>\n<pre><code class=\"html\">&lt;a href=\u201chttp:\/\/external.com\u201d&gt;Go!&lt;\/a&gt; <\/code><\/pre>\n<p>  \u0411\u0440\u0430\u0443\u0437\u0435\u0440 \u0432 \u0437\u0430\u043f\u0440\u043e\u0441\u0435 \u043f\u0435\u0440\u0435\u0434\u0430\u0441\u0442 referer, \u0430\u0434\u0440\u0435\u0441 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u0439 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b. \u0410 \u0447\u0442\u043e \u0441\u043e \u0441\u0442\u0438\u043b\u044f\u043c\u0438, \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430\u043c\u0438 \u0438 \u0442.\u043f.? \u041e\u043d\u0438 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u044e\u0442\u0441\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0432\u0430\u044f referer \u0438\u043b\u0438 \u043d\u0435\u0442? \u041f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e \u043f\u0440\u044f\u043c\u043e \u0441\u0435\u0439\u0447\u0430\u0441 \u043e\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c\u0441\u044f \u043d\u0430 \u0447\u0442\u0435\u043d\u0438\u0438 \u0438 \u043e\u0442\u0432\u0435\u0442\u0438\u0442\u044c \u0434\u043b\u044f \u0441\u0435\u0431\u044f \u043d\u0430 \u0432\u043e\u043f\u0440\u043e\u0441.<\/p>\n<div class=\"spoiler\"><b class=\"spoiler_title\">\u041e\u0442\u0432\u0435\u0442<\/b><\/p>\n<div class=\"spoiler_text\">\u0414\u0430, \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442\u0441\u044f  <\/div>\n<\/div>\n<p>  \u0427\u0435\u043c \u044d\u0442\u043e \u043f\u043b\u043e\u0445\u043e? \u041d\u0430 \u0440\u0435\u0441\u0443\u0440\u0441\u0435 hackerone.com \u0432\u0435\u0440\u0441\u0442\u0430\u043b\u044c\u0449\u0438\u043a \u0432\u0441\u0442\u0430\u0432\u0438\u043b \u043a\u043e\u043c\u0438\u043a\u0441 \u043d\u0430 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u043f\u0430\u0440\u043e\u043b\u044f (\u043a\u0443\u0434\u0430 \u044e\u0437\u0435\u0440 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 \u0441 \u0442\u043e\u043a\u0435\u043d\u043e\u043c \u0432 GET \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0435) \u0441\u2026 \u0432\u043d\u0435\u0448\u043d\u0435\u0433\u043e \u0440\u0435\u0441\u0443\u0440\u0441\u0430. \u041a\u0430\u043a \u0438\u0442\u043e\u0433 \u2014 \u0432\u043b\u0430\u0434\u0435\u043b\u0435\u0446 \u044d\u0442\u043e\u0433\u043e \u0440\u0435\u0441\u0443\u0440\u0441\u0430 \u043f\u0440\u0438 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0435 \u0434\u0430\u043d\u043d\u043e\u0433\u043e \u043a\u043e\u043c\u0438\u043a\u0441 \u0432\u0438\u0434\u0435\u043b \u0443 \u0441\u0435\u0431\u044f \u0432 access.log \u0432\u0441\u0435 \u0442\u043e\u043a\u0435\u043d\u044b \u0434\u043b\u044f \u0441\u0431\u0440\u043e\u0441\u0430 \u043f\u0430\u0440\u043e\u043b\u0435\u0439. \u041f\u0440\u0438 \u043d\u0443\u0436\u043d\u043e\u0439 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0437\u0430\u0446\u0438\u0438 \u0430\u043a\u043a\u0430\u0443\u043d\u0442 \u043c\u043e\u0436\u043d\u043e \u0431\u044b\u0441\u0442\u0440\u043e \u00ab\u0443\u0433\u043d\u0430\u0442\u044c\u00bb.<br \/>  \u0410 \u043a\u0430\u0437\u0430\u043b\u043e\u0441\u044c \u0431\u044b \u2014 \u00ab\u044f \u043f\u0440\u043e\u0441\u0442\u043e \u0432\u0441\u0442\u0430\u0432\u043b\u044f\u044e \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0438 \u0432 html\u00bb (:<\/p>\n<p>  \u041f\u0440\u0435\u0437\u0435\u043d\u0442\u0430\u0446\u0438\u044f \u0441 \u0432\u044b\u0441\u0442\u0443\u043f\u043b\u0435\u043d\u0438\u044f  <\/p>\n<div class=\"slideshow\"><iframe loading=\"lazy\" src=\"http:\/\/www.slideshare.net\/slideshow\/embed_code\/48484878\" width=\"425\" height=\"355\" frameborder=\"0\" marginwidth=\"0\" marginheight=\"0\" scrolling=\"no\"><\/iframe><\/div>\n<div class=\"clear\"><\/div>\n<p> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"http:\/\/habrahabr.ru\/post\/259389\/\"> http:\/\/habrahabr.ru\/post\/259389\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<br \/>\n<h1><font color=\"#56A5EC\">\u0418\u043d\u0442\u0440\u043e<\/font><\/h1>\n<p>  \u041d\u0435 \u0442\u0430\u043a \u0434\u0430\u0432\u043d\u043e \u044f \u0432\u044b\u0441\u0442\u0443\u043f\u0430\u043b \u043d\u0430 \u043a\u043e\u043d\u0444\u0435\u0440\u0435\u043d\u0446\u0438\u0438 <a href=\"http:\/\/frontendconf.ru\/2015\/abstracts\/1769\">FrontendConf 2015<\/a> (\u0420\u0418\u0422++) \u0441 \u0442\u0435\u043c\u043e\u0439 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0438. \u0418 \u043f\u0440\u0438 \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u043a\u0435 \u0434\u043e\u043a\u043b\u0430\u0434\u0430 \u043d\u0430\u0447\u0430\u043b \u0438\u0441\u043a\u0430\u0442\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u0430 \u043a\u0442\u043e \u0432\u043e\u043e\u0431\u0449\u0435 \u0432\u044b\u0441\u0442\u0443\u043f\u0430\u043b \u043d\u0430 \u0434\u0430\u043d\u043d\u0443\u044e \u0442\u0435\u043c\u0443 \u0438 \u0447\u0442\u043e \u0435\u0441\u0442\u044c \u0432 \u0421\u0435\u0442\u0438 \u043d\u0430 \u0434\u0430\u043d\u043d\u044b\u0439 \u043c\u043e\u043c\u0435\u043d\u0442.<\/p>\n<p>  \u041e\u043a\u0430\u0437\u0430\u043b\u043e\u0441\u044c, \u0447\u0442\u043e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0441\u043e\u0432\u0441\u0435\u043c \u043d\u0435\u043c\u043d\u043e\u0433\u043e, \u0431\u043e\u043b\u0435\u0435-\u043c\u0435\u043d\u0435\u0435 \u043c\u043e\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u0431\u044b \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c \u0434\u043e\u043a\u043b\u0430\u0434 <a href=\"https:\/\/mikewest.org\/2013\/09\/frontend-security-frontendconf-2013\">mikewest.org\/2013\/09\/frontend-security-frontendconf-2013<\/a> \u043e\u0442 Mike West \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Google, \u043d\u043e \u043a\u0430\u043a\u043e\u0439-\u0442\u043e \u00ab\u043d\u0435\u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0441\u043a\u0438\u0439\u00bb \u0432\u0437\u0433\u043b\u044f\u0434 \u0438 \u0443\u0436 \u0441\u043e\u0432\u0441\u0435\u043c \u043c\u0430\u043b\u043e \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u0430. \u0418 <a href=\"http:\/\/www.slideshare.net\/eoftedal\/web-application-security-in-front-end\">www.slideshare.net\/eoftedal\/web-application-security-in-front-end<\/a> \u0433\u0434\u0435 \u0442\u0435\u043c\u0430 \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u0430 \u0431\u043e\u043b\u0435\u0435 \u0434\u0435\u0442\u0430\u043b\u044c\u043d\u043e, \u043d\u043e \u0432\u044b\u0441\u0442\u0443\u043f\u043b\u0435\u043d\u0438\u0435 2011 \u0433\u043e\u0434\u0430. \u0410 \u0437\u0430 4 \u0433\u043e\u0434\u0430 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0438 \u0438 \u0430\u0442\u0430\u043a\u0438 \u043d\u0430 \u043c\u0435\u0441\u0442\u0435 \u043d\u0435 \u0441\u0442\u043e\u044f\u043b\u0438.<\/p>\n<p>  \u0414\u043e\u043b\u0433\u043e \u0438 \u0441\u043b\u043e\u0436\u043d\u043e \u0432\u044b\u0431\u0438\u0440\u0430\u044f \u0442\u0435\u043c\u044b, \u0447\u0442\u043e \u0436\u0435 \u0432\u0441\u0435-\u0442\u0430\u043a\u0438 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430\u043c \u0444\u0440\u043e\u043d\u0442\u0435\u043d\u0434\u043e\u0432 \u043f\u0440\u043e \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c, \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u043c\u0438\u043d\u0438\u043c\u0443\u043c \u043a\u0430\u0441\u0430\u044f\u0441\u044c \u0431\u0435\u043a\u044d\u043d\u0434\u0430 (\u043c\u0435\u0441\u0442\u0430\u043c\u0438 \u0432\u0441\u0435-\u0442\u0430\u043a\u0438 \u044d\u0442\u043e \u043d\u0435\u0434\u0435\u043b\u0438\u043c\u043e), \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0441\u044f \u0434\u043e\u043a\u043b\u0430\u0434, \u0430 \u0437\u0434\u0435\u0441\u044c \u2014 \u0435\u0433\u043e \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u043f\u0435\u0440\u0435\u0441\u043a\u0430\u0437.<\/p>\n<h1><font color=\"#56A5EC\">\u041e \u0447\u0435\u043c \u0432\u043e\u043e\u0431\u0449\u0435 \u0440\u0430\u0437\u0433\u043e\u0432\u043e\u0440?<\/font><\/h1>\n<p>  \u0410 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u043e \u0447\u0435\u043c \u0442\u0443\u0442 \u0432\u043e\u043e\u0431\u0449\u0435 \u043c\u043e\u0436\u043d\u043e \u0440\u0430\u0437\u0433\u043e\u0432\u0430\u0440\u0438\u0432\u0430\u0442\u044c? \u0413\u043e\u0432\u043e\u0440\u044f \u043f\u0440\u043e \u0432\u0437\u043b\u043e\u043c\u044b \u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u043d\u0435\u0432\u043e\u043b\u044c\u043d\u043e \u043f\u0440\u0438\u0445\u043e\u0434\u044f\u0442 \u0432 \u0433\u043e\u043b\u043e\u0432\u0443 \u0442\u0435\u0437\u0438\u0441\u044b \u2014 \u0441\u043b\u0438\u043b\u0438 \u0431\u0430\u0437\u0443, \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044e \u043a\u043e\u043c\u0430\u043d\u0434 \u041e\u0421 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435, \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043b\u0438 \u0447\u0443\u0436\u0443\u044e \u043f\u0435\u0440\u0435\u043f\u0438\u0441\u043a\u0443. \u041d\u043e \u044d\u0442\u043e \u0432\u0441\u0435 \u2014 server side \u043a\u043e\u0434. \u0410 \u0447\u0442\u043e \u0436 \u043c\u043e\u0436\u0435\u0442 \u00ab\u043d\u0430\u0433\u043e\u0440\u043e\u0434\u0438\u0442\u044c\u00bb \u0444\u0440\u043e\u043d\u0442\u044d\u043d\u0434\u0435\u0440? \u0413\u043b\u0430\u0432\u043d\u0430\u044f \u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c, \u043a\u043e\u043d\u0435\u0447\u043d\u043e \u0436\u0435, \u0432 \u043e\u0431\u0445\u043e\u0434\u0435 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u043c SOP \u2014 Same Origin Policy, \u0433\u043b\u0430\u0432\u043d\u043e\u0439 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0440\u0435\u0433\u0443\u043b\u0438\u0440\u0443\u0435\u0442 \u0440\u0430\u0431\u043e\u0442\u0443 \u0432 \u0440\u0430\u0437\u043d\u044b\u0445 Origin. \u041d\u043e \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e, \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0442\u044c\u0441\u044f.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-259018","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/259018","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=259018"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/259018\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=259018"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=259018"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=259018"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}