1 00:00:00,660 --> 00:00:01,920 एक और वीडियो में आपका स्वागत है। 2 00:00:02,100 --> 00:00:05,580 इस वीडियो में, हम समान मूल नीति के बारे में बात करने जा रहे हैं। 3 00:00:06,660 --> 00:00:14,280 ब्राउज़रों का उपयोग अक्सर अनुप्रयोगों तक पहुँचने के दावों के रूप में किया जाता है, लेकिन वास्तव में, ब्राउज़र इनमें से एक है 4 00:00:14,280 --> 00:00:20,490 आपकी सीधी सिम मूल नीतियों में सबसे जटिल सॉफ़्टवेयर प्रोग्राम, कई विशेषताओं में से एक 5 00:00:20,490 --> 00:00:24,390 ब्राउज़र उपयोगकर्ताओं को विभिन्न प्रकार के हमलों से बचाने के लिए समर्थन करते हैं। 6 00:00:25,020 --> 00:00:31,710 इससे पहले कि हम सिम मूल नीति के बारे में चर्चा करें, यह समझना महत्वपूर्ण है कि मूल क्या है। 7 00:00:32,520 --> 00:00:38,970 जब वेब पर विभिन्न स्रोतों से सामग्री लोड की जाती है, तो ब्राउज़र को अंतर करने में सक्षम होना चाहिए 8 00:00:38,970 --> 00:00:41,190 विभिन्न स्रोतों से सामग्री के बीच. 9 00:00:42,030 --> 00:00:44,310 यहीं पर उत्पत्ति तस्वीर में आती है। 10 00:00:44,850 --> 00:00:52,890 उत्पत्ति का उपयोग विभिन्न पार्टियों को परिभाषित करने और उनके बीच अधिक सटीक रूप से सीमाएं खींचने के लिए किया जाता है, और यह 11 00:00:52,890 --> 00:00:56,250 उत्पत्ति को स्टीम होस्ट के रूप में दर्शाया गया है। 12 00:00:56,250 --> 00:01:03,900 पोर्टेबल योजना उपयोग किए गए प्रोटोकॉल को संदर्भित करती है, उदाहरण के लिए, इसकी जीडीपी या नफरत विषम जो हम करते हैं 13 00:01:03,900 --> 00:01:05,460 लगभग हमेशा देखते हैं. 14 00:01:06,240 --> 00:01:12,520 और होस्ट डोमेन नाम को संदर्भित करता है और पोर्ट वेब पर कॉन्फ़िगर किए गए पोर्ट नंबर को संदर्भित करता है। 15 00:01:12,540 --> 00:01:19,110 इसलिए यदि आप यहां स्क्रीन पर दिखाए गए उदाहरण को देखते हैं, तो यहां दो डोमेन हैं जिन पर विचार किया गया है 16 00:01:19,110 --> 00:01:21,210 विभिन्न मूल से होना. 17 00:01:21,540 --> 00:01:29,040 कारण पहले डोमेन में योजना हेजपेथ है, और दूसरे डोमेन में योजना है 18 00:01:29,040 --> 00:01:30,500 विषमलैंगिकता है. 19 00:01:30,990 --> 00:01:34,320 यदि योजना भिन्न है तो यह एक विभेदक है। 20 00:01:34,620 --> 00:01:37,740 ये दोनों डोमेन दो अलग-अलग मूल से हैं। 21 00:01:38,250 --> 00:01:40,530 इसी तरह, हम होस्ट की जांच कर सकते हैं। 22 00:01:41,040 --> 00:01:44,610 पहले डोमेन में होस्ट वैध डॉट कॉम है। 23 00:01:45,300 --> 00:01:47,640 दूसरे डोमेन के मामले में यह बुरा है। 24 00:01:47,640 --> 00:01:52,500 डॉट कॉम, लिटिल डॉट कॉम और यहां तक ​​कि डॉट कॉम दो अलग-अलग डोमेन हैं। 25 00:01:52,860 --> 00:01:56,850 और ये दोनों डोमेन अलग-अलग मूल के हैं। 26 00:01:57,300 --> 00:02:04,380 इसी प्रकार, पहले मामले में पोर्ट डिफ़ॉल्ट रूप से ForFour तीन है क्योंकि हम IDP और in का उपयोग कर रहे हैं 27 00:02:04,380 --> 00:02:08,010 दूसरा डोमेन केस पोर्ट आठ शून्य आठ शून्य है। 28 00:02:08,430 --> 00:02:14,760 एक बार फिर, इन पोर्ट का उपयोग यह निर्धारित करने के लिए किया जा सकता है कि ये दोनों डोमेन एक ही मूल से हैं या नहीं। 29 00:02:15,420 --> 00:02:20,910 याद रखें, इन दोनों डोमेन में इन तीनों में से एक का अलग होना ही काफी है। 30 00:02:21,210 --> 00:02:28,320 उदाहरण के लिए, हेगार्टी बी एबल डॉट कॉम आठ जीरो आठ जीरो एक डोमेन है और हेगार्टी बी एविल। 31 00:02:28,320 --> 00:02:31,770 डॉट कॉम आठ शून्य आठ नौ एक अन्य डोमेन है। 32 00:02:32,160 --> 00:02:38,550 चूँकि इन दोनों डोमेन में पोर्ट नंबर अलग-अलग है, फिर भी उन्हें अलग-अलग माना जाता है 33 00:02:38,550 --> 00:02:39,260 उत्पत्ति 34 00:02:39,750 --> 00:02:42,150 तो इस प्रकार उत्पत्ति को परिभाषित किया गया है। 35 00:02:42,750 --> 00:02:49,290 इन विभिन्न मूलों के बीच संचार को आम तौर पर क्रॉस ओरिजिन इंटरैक्शन के रूप में जाना जाता है। 36 00:02:49,980 --> 00:02:55,650 हालाँकि क्रॉसआईड और इंटरैक्शन फायदेमंद हैं, वे कई नेटबैक का कारण भी हैं। 37 00:02:56,550 --> 00:03:02,760 कुछ क्रॉस ओरिजिन अनुरोध संभावित रूप से खतरनाक हो सकते हैं और रिमोट की स्थिति में बदलाव का कारण बन सकते हैं 38 00:03:02,760 --> 00:03:04,800 सर्वर क्रॉसआइड अनुरोध। 39 00:03:04,800 --> 00:03:08,670 जालसाजी, या सीएसआईआर ऐसे हमले का एक उदाहरण है। 40 00:03:09,360 --> 00:03:17,220 अब जब हम समझ गए हैं कि मूल क्या है, तो आइए समान मूल नीति, समान मूल को समझने का प्रयास करें 41 00:03:17,220 --> 00:03:25,560 नीति या S.O.P एक ब्राउज़र स्तर का सुरक्षा नियंत्रण है जो यह निर्धारित करता है कि किसी दस्तावेज़ या स्क्रिप्ट को कैसे प्रस्तुत किया जाए 42 00:03:25,560 --> 00:03:29,460 एक मूल किसी अन्य मूल के संसाधन के साथ बातचीत कर सकता है। 43 00:03:30,270 --> 00:03:37,080 यह सुनिश्चित करता है कि एक मूल के अंतर्गत चलने वाली स्क्रिप्ट दूसरे मूल से डेटा नहीं पढ़ सकती हैं। 44 00:03:37,440 --> 00:03:45,450 तो समान मूल नीति के अनुसार, आम तौर पर क्रॉस मूल अधिकारों की अनुमति होती है, लेकिन आम तौर पर क्रॉस मूल अधिकारों की अनुमति होती है 45 00:03:45,450 --> 00:03:46,050 अनुमति नहीं है. 46 00:03:46,680 --> 00:03:48,900 यहां तक ​​कि जब क्रॉस ओरिजिन अधिकारों की बात आती है। 47 00:03:48,900 --> 00:03:54,720 कुछ मामलों में कुछ प्रतिबंध हैं जहां ब्राउज़र द्वारा अतिरिक्त अनुरोध भेजे जाएंगे 48 00:03:54,720 --> 00:04:00,270 उड़ान-पूर्व जाँच जैसी चीज़ें करना, जो आमतौर पर XML HDB अनुरोधों में होता है। 49 00:04:00,870 --> 00:04:06,330 लेकिन आम तौर पर HTML फॉर्म सबमिशन को समान मूल नीति द्वारा अनुमति दी जाती है। 50 00:04:06,900 --> 00:04:13,260 अब, इन अवधारणाओं को ध्यान में रखते हुए, आइए यह समझने की कोशिश करें कि आम तौर पर देखी जाने वाली कुछ कमजोरियाँ कैसी हैं 51 00:04:13,260 --> 00:04:18,810 जैसे क्रॉसआईड स्क्रिप्टिंग और लागत साइट अनुरोध जालसाजी नीति में एक ही ऑडिट से संबंधित हैं। 52 00:04:19,240 --> 00:04:21,780 आइए सबसे पहले बात करते हैं क्रॉस साइट स्क्रिप्टिंग की। 53 00:04:22,380 --> 00:04:29,010 जैसा कि मैंने पहले उल्लेख किया है, जब आप पार प्रदर्शन करने का प्रयास करते हैं तो आमतौर पर क्रॉस मूल समूहों को अनुमति नहीं दी जाती है 54 00:04:29,010 --> 00:04:30,090 साइट स्क्रिप्टिंग हमला. 55 00:04:30,330 --> 00:04:36,540 हम आम तौर पर लक्ष्य डोमेन पर जावास्क्रिप्ट निष्पादित करने का प्रयास करते हैं और संवेदनशील जानकारी पढ़ने का प्रयास करते हैं 56 00:04:36,540 --> 00:04:37,410 कुकीज़ की तरह. 57 00:04:37,920 --> 00:04:44,730 अब, आमतौर पर समान मूल नीति द्वारा इसकी अनुमति नहीं है, इसलिए आप किसी हमलावर का डोमेन सेट नहीं कर सकते 58 00:04:45,030 --> 00:04:51,900 और वहां कुछ जावास्क्रिप्ट को इस तरह से निष्पादित करें कि यह पीड़ितों की वेबसाइट की कुकीज़ को पुनः प्राप्त कर सके। 59 00:04:52,440 --> 00:04:58,920 और यही कारण है कि आपको पीड़ितों की वेबसाइट पर जावास्क्रिप्ट निष्पादित करने का एक तरीका खोजना होगा। 60 00:04:59,830 --> 00:05:06,500 यह क्रॉसआइड स्क्रिप्टिंग है, इसलिए नीति में इन्हीं विचारों के कारण, क्रॉसफ़ेड स्क्रिप्ट का प्रदर्शन नहीं किया जा सकता है 61 00:05:06,680 --> 00:05:10,210 हमलावर नियंत्रित डोमेन पर जावास्क्रिप्ट निष्पादित करके। 62 00:05:10,900 --> 00:05:17,600 अब, जब सीएसआर के सीएसआर की बात आती है, तो रोव आमतौर पर एक फॉर्म जमा करके किया जाता है जो बना सकता है 63 00:05:17,600 --> 00:05:18,920 कुछ राज्य परिवर्तन. 64 00:05:18,920 --> 00:05:23,690 सर्वर साइड पर, आप सर्वर से कोई प्रतिक्रिया पढ़ने की उम्मीद नहीं कर रहे हैं। 65 00:05:24,440 --> 00:05:27,770 इसका मतलब है कि हमें बस अपने क्षेत्र में निर्माण करना है। 66 00:05:27,770 --> 00:05:31,330 ठीक है, जिसे आम तौर पर समान ऑटोजेन नीति द्वारा अनुमति दी जाती है। 67 00:05:31,700 --> 00:05:38,270 इसलिए जब आप एक अर्ध अनुरोध जालसाजी हमले का संचालन कर रहे हैं, तो आप अपने पेलोड को एक हमलावर पर होस्ट कर सकते हैं 68 00:05:38,270 --> 00:05:39,330 नियंत्रित वेबसाइट. 69 00:05:39,860 --> 00:05:46,090 तो इस प्रकार क्रॉसआईड स्क्रिप्टिंग और सीएसआर ऑटोजेन नीति को देखने से संबंधित हैं। 70 00:05:46,280 --> 00:05:53,100 इसलिए नीति में समान विचार क्रॉसआईड स्क्रिप्टिंग और क्रॉसफ़ेड अनुरोध जालसाजी को समझने की नींव है 71 00:05:53,120 --> 00:05:53,690 आक्रमण.