ajax 安全读书笔记
1.胖客户端的部署方案
java web start
.net clickonce
2.入侵思路
HTTP数据的记录->发现ajax可能存在问题的点->绕过javascript的一些限制和破解javascript混淆代码->找到json的sql注入点->找到ajax可以添加管理员的回调函数和json相关
3.sql注入小技巧
union select name from sysobjects where xtype='U'只要得到相同的字段
4.客户端取消cookie认证不是保证了安全，而是把威胁又无形扩大了
5.ajax攻击层面包括了传统的WEB漏洞+WEB SERIVCES漏洞。
6. 报头中可能存在危险的注入
7.RSS注入(外部资料可以参考 black hat 2006年Robert Auger
http://www.cgisecurity.com/papers/RSS-Security.ppt的文章)
8.json的漏洞必须要验证序列化数据(外部参考资料black hat 2005 Attack web Services: The next Generation of vulneralbe enterprise apps下载地址http://www.blackhat.com/presentations/bh-usa-05/bh-us-05-stamos.pdf
和HackInTheBox的pentesting java/j2ee)
9.douglas防御Json的eval注入
相关文档：
向大家推荐10个相当棒的Ajax和Javascript国外资源网站或博客，它们提供了相当多的高质量Ajax、Javascript实例及教程，喜欢Ajax和Javascript的朋友绝对不能错过。
1.Ajax Rain
AjaxRain有很多完美整合AJAX, CSS, DHTML 或 Javascript的实例，有一些Demo的确值得你去看一看，即使你不是网页设计(开发)师。
Ajax/Javascri ......
qooxdoo是一个自由免费的Ajax GUI框架，现在它的1.0版本提供了下载。 qooxdoo的发音为 ['ku:ksdu:],，它提供了使用JavaScript实现几乎所有，建立类桌面Web应用程序所需的用户界面。根据开发者HTML， CSS或 DOM知识不是必需的。这个架构可以运行在所有主流的浏览器上，例如：Internet Explorer, Firefox, Safari, Opera和Chr ......
公司最近给我一个任务：把一个用iframe做的留言板改写用Ajax做，这样做的原因是：对搜索引擎的优化。虽然很早就知道Ajax可以做局部刷新，但因为自己是刚毕业入职的菜鸟，仅仅是知道有这么个技术可以做这样一功能而已。一边学一边做。现在这功能还没完全弄好，先总结下思路以便更好的学习：
业务逻辑：在线研讨会，提问者页 ......
HTML代码如下:
LoginValidate.aspx
<%@ Page Language="C#" AutoEventWireup="true" CodeFile="LoginValidate.aspx.cs" Inherits="LoginValidate" %>
<html xmlns="http://www.w3.org/1999/xhtml" >
<head runat="server">
<title>验证用户名是否存在</title>
<script type="text/j ......
Ajax直接跨域访问，会出现没有权限的错误，一个比较简单可行的解决方案如下：
做一个 ajax请求的 代理servlet 或者jsp，
ajax请求servlet或jsp代理，由servlet或jsp代理去请求ajax要访问的action，然后再将action的响应信息返回给ajax即可，
servlet或jsp充当中介人的角色
servlet 或 jsp 代理的 核心代码如下� ......
