Что Ajax вызывает как «for (;;)»? {json data} 'значит? [Дубликат]

Я подозреваю, что основной причиной этого является контроль. Это заставляет вас извлекать данные через Ajax, а не через JSON-P или аналогичный (который использует теги script, и так потерпит неудачу, потому что цикл for бесконечен) и, таким образом, гарантирует, что Same Origin Policy. Это позволяет им контролировать, какие документы могут выдавать вызовы API — в частности, только документы, которые имеют тот же самый источник, что и этот вызов API, или те, которые Facebook специально предоставляет для доступа через CORS (в браузерах, поддерживающих CORS). Поэтому вы должны запросить данные через механизм, в котором браузер будет применять SOP, и вы должны знать об этом предисловии и удалять его перед десериализацией данных.

Итак, да, это о контроле (полезном) доступе к этим данным.

Ну, for(;;); - это бесконечный цикл (вы можете использовать консоль Chrome JavaScript для запуска этого кода на вкладке, если хотите, а затем посмотрите, как использование ЦП в диспетчере задач проходит через крышу, пока браузер не убьет вкладка).

Поэтому я подозреваю, что, возможно, его помещают, чтобы сорвать любого, кто пытается проанализировать ответ, используя eval или любой другой метод, который выполняет возвращенные данные.

Чтобы объяснить далее, довольно часто приходилось разбирать бит JSON-форматированных данных с помощью функции JavaScript eval(), делая что-то вроде:

var parsedJson = eval('(' + jsonString + ')');

... это считается небезопасным, однако, как если бы по какой-то причине ваши данные в формате JSON содержали исполняемый код JavaScript вместо (или в дополнение к) JSON-форматированных данных, тогда этот код будет выполняться с помощью eval(), Это означает, что если вы разговариваете с ненадежным сервером или кто-то компрометирует доверенный сервер, то они могут запускать произвольный код на вашей странице.

Из-за этого использование таких вещей, как eval() для разбора данных в формате JSON, как правило, неодобрительно, а оператор for(;;); в Facebook JSON не позволит людям разбирать данные таким образом. Любой, кто пытается, получит бесконечный цикл. По сути, он, как и Facebook, пытается обеспечить, чтобы люди работали со своим API таким образом, чтобы они не оставляли их уязвимыми для будущих эксплойтов, которые пытаются удержать API Facebook для использования в качестве вектора.

Я немного опоздал и T.J. в основном решил тайну, но я думал, что поделился бы замечательной статьей по этой теме, которая имеет хорошие примеры и дает более глубокое понимание этого механизма.

Эти бесконечные петли являются контрмерой против "Javascript hijacking", типа атаки, которая получила общественное внимание с атакой на Gmail, опубликованной Джеремией Гроссманом.

Идея такая же красивая, как и красивая: многие пользователи, как правило, постоянно регистрируются в Gmail или Facebook. Итак, что вы делаете, так это то, что вы создали сайт и на своем вредоносном сайте Javascript вы переопределяете конструктор объекта или массива:

function Object() {
    //Make an Ajax request to your malicious site exposing the object data
}

то вы включаете тег <script> на этом сайте, например

<script src="http://www.example.com/object.json"></script>

И, наконец, вы можете прочитать все о объектах JSON в ваших журналах вредоносного сервера.

Как и было обещано, ссылка на .

Это выглядит как взломать, чтобы предотвратить атаку CSRF. Существуют определенные для браузера способы подключения к созданию объектов, поэтому вредоносный веб-сайт может использовать это, а затем следующее:

<script src="http://0.131.channel.facebook.com/x/1476579705/51033089/false/p_1524926084=0" />

Если бы не существовал бесконечный цикл перед JSON, объект был бы создан, так как JSON может быть eval() ed как javascript, и крючки обнаружат его и обнюхивают членов объекта.

Теперь, если вы заходите на этот сайт из браузера, заходите в Facebook, он может получить ваши данные так, как если бы вы были, а затем отправить его обратно на свой собственный сервер, например, через AJAX или javascript.