同一站点脚本编写

“Same Site Scripting”是一种由常见的DNS配置错误导致的漏洞。不过，在深入探讨相关概念之前，我们先来了解一下互联网的工作原理吧。网络的工作原理：当您尝试访问某个网站时，您的浏览器会与该网站的服务器进行通信。这些服务器是通过互联网协议来连接的。为了实现访问，浏览器需要使用IP地址来与服务器进行连接。以下是访问网站时工作流程的基本解释：

1. 您尝试访问 target.com 网站。
2. 浏览器使用DNS（域名系统）来将“target.com”转换为其IP地址，这里的IP地址就是“1.1.1.1”。
3. “target.com”网站的内容会显示在您的浏览器上。

DNS配置错误：让我们来看看，所谓的“DNS配置错误”究竟指的是什么。 在上面的例子中，如果DNS服务器返回了错误的IP地址，比如2.2.2.2而不是1.1.1.1，那么浏览器仍然可以成功访问2.2.2.2。 现在，如果那个恶意网站的主机地址是2.2.2.2，那么受害者可能会面临多种风险。 如果用于连接 2.2.2.2 的协议没有使用 TLS（传输层安全协议），那么就会出现问题。 另一方面，如果使用了TLS协议，那么浏览器会拒绝与2.2.2.2的连接请求，因为该服务器没有与target.com的证书相匹配的私钥。相同站点的脚本编写：在配置名称服务器时，常见的做法是将以下几种类型的记录进行安装。

localhost. IN A 127.0.0.1

一个看似无害的错误就是省略了结尾的连点。服务器在解析配置文件时，会将“localhost”视为当前域内的主机名，而不是真正的域名。这意味着，如果你尝试使用“ping localhost.target.com”命令，那么查询将会成功进行。这就是所谓的“同源脚本漏洞”。这种漏洞属于跨站脚本攻击（XSS）的一种变体。 由于URL末尾没有“dot”，这表明该记录并未被完全限定。 因此，形如“localhost.target.com”的查询会被成功解析。 基本上来说，回环地址（对计算机而言，其实就是“我自己”）被分配给localhost.target.com这个可路由的地址。 因此，当您尝试连接到这个回环地址时，实际上会连接到正在发送消息的机器上。示例 –当您尝试访问localhost.target.com时，如果您的本地主机上运行着某些服务（比如WAMP服务器等），那么您将被重定向到那些服务所在的地址，而无法访问子域名。影响：这并不属于那种严重的漏洞，比如XSS漏洞。因为要利用这种漏洞，攻击者必须与您处于同一台机器上。如果攻击者不在同一台机器上，那么他们就无法打开网络端口，从而无法从本地机器向您的浏览器发送HTTP流量。攻击场景：这种DNS配置错误会导致受害者在使用多用户系统时容易受到攻击。

1. 在共享的UNIX系统中，攻击者会监听一个无特殊权限的端口[0]。然后，他们利用常见的XSS攻击手段（例如，通过修改img src属性来诱使受害者请求“http://localhost.target.com:1024/cutedogs.gif”）。
2. 当受害者尝试访问上述URL时，系统会显示类似“无法加载图片”的提示信息。
3. 不过，这些请求都会被记录下来。

作为管理员，如何避免同源脚本攻击：

1. 对于那些依赖HTTP状态管理的网站来说，那些不属于FQ域名的localhost记录，应该从域名服务器的配置中移除。
2. 此外，那些通过DNS实现黑洞路由来应对针对特定主机名的拒绝服务攻击的人，应避免将敏感域的名称解析为127.0.0.1或类似地址。