ajax 安全读书笔记
1.胖客户端的部署方案
java web start
.net clickonce
2.入侵思路
HTTP数据的记录->发现ajax可能存在问题的点->绕过javascript的一些限制和破解javascript混淆代码->找到json的sql注入点->找到ajax可以添加管理员的回调函数和json相关
3.sql注入小技巧
union select name from sysobjects where xtype='U'只要得到相同的字段
4.客户端取消cookie认证不是保证了安全，而是把威胁又无形扩大了
5.ajax攻击层面包括了传统的WEB漏洞+WEB SERIVCES漏洞。
6. 报头中可能存在危险的注入
7.RSS注入(外部资料可以参考 black hat 2006年Robert Auger
http://www.cgisecurity.com/papers/RSS-Security.ppt的文章)
8.json的漏洞必须要验证序列化数据(外部参考资料black hat 2005 Attack web Services: The next Generation of vulneralbe enterprise apps下载地址http://www.blackhat.com/presentations/bh-usa-05/bh-us-05-stamos.pdf
和HackInTheBox的pentesting java/j2ee)
9.douglas防御Json的eval注入
相关文档：
ASP.NET Ajax Video学习笔记
5. Make Client-Side Network Callbacks with ASP.NET AJAX?
Notes:
在<ScriptManager>中添加<Services>
4. Implement Dynamic Partial-Page Updates with ASP.NET AJAX?
Notes:
UpdatePanel可以完成部分页面的更新
如果Button在UpdatePanel中，即使在PageLoad()中包含更新� ......
传统型ASP.NET Web Forms是基于同时包含了表现层和后台代码的Web页面，所以，紧随其后出现的ASP.NET AJAX，特别是这个框架的服务器端控件并没有像它们本应该的那样光芒四射。于是，很多跟随AJAX时髦的ASP.NET开发者只是向ASP.NET页面中随意地放置一些UpdatePanel控件以便使其程序实现基本的AJAX支持。实际 ......
qooxdoo是一个自由免费的Ajax GUI框架，现在它的1.0版本提供了下载。 qooxdoo的发音为 ['ku:ksdu:],，它提供了使用JavaScript实现几乎所有，建立类桌面Web应用程序所需的用户界面。根据开发者HTML， CSS或 DOM知识不是必需的。这个架构可以运行在所有主流的浏览器上，例如：Internet Explorer, Firefox, Safari, Opera和Chr ......
just get a json
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
<html>
<head>
<title></title>
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
<mce:script src="jquery-1.3.2.min.js" mce_src="jq ......
