新年新气象，这个蠕虫我做了小范围测试，也提交了官方修复，小圈子里做了分享，这里正式对外公布下，出于研究而非破坏为目的，供大家参考。
IAMANEWBOTNAMEDCORSBOT
——-BOT PoC——-
http://evilcos.me/lab/IAMANEWBOTNAMEDCORSBOT.TXT
完整代码直接见上面这个链接即可。
里面需要特别注意的两个点：
- Conten-Type是JSON
- Origin是：huaban.com.al3rt.io，这个小技巧直接绕过花瓣的Origin判断
标签：crossdomain
[PRE]CSRF攻击-进击的巨人
计划准备出一个PPT专门讲解CSRF里的各种奇技淫巧，除了那些老套的手法之外：
https://github.com/evilcos/papers
我公布的Papers里有个PPT是《CSRF攻击-苏醒的巨人》，可以参考。
还包括以前提的Flash CSRF/XSF等方式，细节可以温习去年我的Paper（隐蔽的战场—Flash Web攻击），希望Flash是日不落帝国，虽然现在快日落了，但是不影响我们的最后挣扎。
除了这些，当然会有新的玩意，比如JSON Hijacking就一直在进化。还有去年很火的WormHole，这是JSON Hijacking本地攻击的一种延伸，点击下这个试试：
你的Cookie安全吗？！
上篇文章（http://evilcos.me/?p=251）提到了跨子域安全问题，这已经是一些互联网大公司的宿命？我真想知道是哪位前端工程师或架构师将这种为了便利而滥用跨子域技巧的思想带到本该分离的业务里？这样埋下的种子总有一天会变成雷。这个技巧最常见的有两种模式：
1. 人人网那样，几乎所有子域都嵌入一段通用脚本，设置document.domain=”renren.com”；
2. 大多数网站（腾讯、百度、新浪等等）的做法：子域的某路径下有个ajaxproxy.htm或proxy.html等类似文件名的文件，里面的代码是：
我忽略跨子域的一个小问题
昨天sogl微博@了我一个问题：
#Web前端黑客#p342 子域无法通过单向设置document.domain跨到主域，书中写的新浪微博可以通过子业务跨到顶级域名下，事实上不可以。
大家可以看我放在GitHub上的demo：https://github.com/web2hack/proxy：
1、设置hosts:
127.0.0.1 evil.com
127.0.0.1 a.evil.com
2、将proxy目录放到本地Web服务根目录下。
3. 访问http://a.evil.com/proxy/attack.htm原理：
双方页面都设置：document.domain=’evil.com’;在浏览器下，可跨子域。
[zz]cross domain各种方法
https://github.com/colorhook/crossdomain，源码。
还有一群程序员在讨论这些：http://www.iteye.com/topic/897253，我忘记是knownsec谁或者其他人分享我的了。总结还不错。还有一些，比如html5里牛逼的websocket技术，直接跨域，持久连接，在客户端层面html5的postMessage已经很帅了。这些本是为了满足程序员欲望的hacking，也满足了我们更邪恶的hacking。。
如果要说还有一些跨域的，那就是各位牛手里的0day了。