document.domain을 완전히 다른 도메인으로 변경하기

Question

나는 변화하는 document.domain이 동일한 상위 도메인의 크로스 스크립팅에만 사용될 수 있음을 증명하려고합니다. 예를 들어 www.test.com에있는 페이지에서 document.domain을 "google.com"으로 변경하려고하면 FF로 보안 예외가 발생합니다. 아무도 공식 증거를 찾을 위치를 아는 사람이 있습니까?

Answer 1

체크 아웃 :

이

같은 원산지 규칙에 한 가지 예외가있다 : 여기 developer.mozilla.org/same-origin-policy

사이트에서 발췌 한 것입니다. 스크립트는 document.domain의 값을 현재 도메인의 접미사 으로 설정할 수 있습니다. 그렇게하면 보다 짧은 도메인이 이후의 원본 검사에 사용됩니다. 예를 들어, 는 http://store.company.com/dir/other.html 에서 문서의 스크립트가 다음 문을 실행 가정

의 document.domain = "company.com"을;

문이 실행될 때 페이지는 http://company.com/dir/page.html 인 원점 검사를 통과합니다. 그러나 동일한 추론에 의해 company.com은 other.public.com으로 설정할 수 없습니다.