Чи JSON Викрадення все ще залишається проблемою в сучасних браузерах?

Я використовую Backbone.js та веб-сервер Tornado. Стандартна поведінка для отримання даних збору в Backbone - це надсилання як масив JSON.

З іншого боку, стандартна поведінка Торнадо не допускає використання масиву JSON через наступну вразливість:

http://haacked.com/archive/2008/11/20/anatomy-of-a-subtle-json-vulnerability.aspx

Пов’язане з цим: http://haacked.com/archive/2009/06/25/json-hijacking.aspx

Мені здається більш природним, що мені не доведеться загортати JSON в об’єкт, коли це справді список об'єктів.

Мені не вдалося відтворити ці атаки в сучасних браузерах (наприклад, поточних Chrome, Firefox, Safari та IE9). У той же час я не зміг ніде підтвердити, що сучасні браузери вирішували ці проблеми.

Щоб переконатися, що мене не вводять в оману ні можливі погані навички програмування, ні погані навички googling:

Ці напади викрадення JSON досі залишаються проблемою в сучасних браузерах?

(Примітка. Вибачте за можливий дублікат: Чи можна робити "викрадення JSON" у сучасному браузері? Але оскільки прийнята відповідь, здається, не відповідає на питання - я подумав, що настав час задати її ще раз і отримати більш чіткі пояснення. .)

Ні, більше неможливо фіксувати значення, передані []або {}конструкторам у Firefox 21, Chrome 27 або IE 10. Ось невелика тестова сторінка, заснована на основних атаках, описаних у http://www.thespanner.co.uk / 2011/05/30 / json-угон / / :

( http://jsfiddle.net/ph3Uv/2/ )

var capture = function() {
    var ta = document.querySelector('textarea')
	ta.innerHTML = '';
	ta.appendChild(document.createTextNode("Captured: "+JSON.stringify(arguments)));
	return arguments;
}
var original = Array;

var toggle = document.body.querySelector('input[type="checkbox"]');
var toggleCapture = function() {
    var isOn = toggle.checked;
    window.Array = isOn ? capture : original;
    if (isOn) {
        Object.defineProperty(Object.prototype, 'foo', {set: capture});    
    } else {
        delete Object.prototype.foo;
    }
};
toggle.addEventListener('click', toggleCapture);
toggleCapture();

[].forEach.call(document.body.querySelectorAll('input[type="button"]'), function(el) {
    el.addEventListener('click', function() {
        document.querySelector('textarea').innerHTML = 'Safe.';
        eval(this.value);
    });
});

<div><label><input type="checkbox" checked="checked"> Capture</label></div>
<div><input type="button" value="[1, 2]" /> <input type="button" value="Array(1, 2);" /> <input type="button" value="{foo: 'bar'}" /> <input type="button" value="({}).foo = 'bar';" /></div>
<div><textarea></textarea></div>

Він переосмислює window.Arrayта додає сеттер Object.prototype.fooі тестує ініціалізацію масивів та об'єктів за допомогою коротких та довгих форм.

Специфікація ES4 у розділі 1.5 "вимагає використання глобальних, стандартних прив'язок об'єкта та масиву для побудови нових об'єктів для ініціалізаторів об'єктів та масивів" та зазначає у "Прецеденті впровадження", що "Internet Explorer 6, Opera 9.20 та Safari 3 роблять не поважайте ані локальні, ані глобальні відтворення об'єктів та масиву, але використовуйте оригінальні конструктори Object and Array. " Це зберігається в ES5, розділ 11.1.4 .

Аллен Вірфс-Брок пояснив, що ES5 також вказує, що ініціалізація об'єкта не повинна запускати сетерів, оскільки він використовує DefineOwnProperty. MDN: Робота з об’єктами зазначає, що "Починаючи з JavaScript 1.8.1, сеттери більше не викликаються при встановленні властивостей в ініціалізатори об'єктів і масивів." Це було розглянуто у V8 випуску 1015 .