连载：使用 Firefox攻击Web2.0应用(二)

三、Web2.0安全评估面临的挑战

在Web2.0这个异步的框架中，Web应用不再需要以前那么频繁的页面刷新和重定向，这样，一些原本能够被利用的服务器资源被隐藏了起来。以下是安全研究人员在理解Web2.0应用时面临的三个重要的挑战：

（1）发现隐藏的调用：当浏览器载入的页面的XHR调用发生时，如何能够及时准确地发现它，是很大的挑战。

（2）网络爬虫问题：传统的网络爬虫应用无法应付浏览器中页面的所有行为，当页面通过JavaScript调用XHR对象从服务器获得资源时，传统的网络爬虫无法抓取到这些资源。

（3）调用逻辑发现：Web2.0的应用通过JavaScript加载，对一个特定的事件，很难分离出它的调用逻辑，因为每个html页面都会从服务器加载三到四个JavaScript脚本文件，每个JavaScript文件里又有很多函数，而当一个事件发生的时候，很难去判断是哪些JavaScript文件中的哪些函数被调用。

我们需要研究出一套方法和工具，在Web应用安全评估中克服以上障碍。这篇文章的目的，正是介绍如何使用Firefox浏览器及其一些插件，来应对上述挑战。

3.1发现隐藏的调用

Web2.0的应用可能只从服务器下载一个页面，但通过几次XHR对象调用，来构建最终的页面。这些XHR调用异步的从服务器下载资源或者JavaScript脚本。这样，我们面临的挑战就是如何判断发生的XHR调用和识别从服务器下载的资源。这些资源可以帮助安全研究人员发现安全漏洞。让我们从一个简单的例子开始。

假设我们可以通过访问站点hxxp://example.com/news.aspx ，来了解当天的商业新闻。页面的截图如图2所示。

作为一个Web2.0的应用，Ajax调用通过XHR对象被发往服务器。我们可以通过一个工具Firebug来识别所有的XHR对象调用。Firebug是Firefox浏览器的一个插件，在用户浏览一个页面之前，先把“Show XMLHttpRequests”选项选中，如图3所示。

启用截获XMLHttpRequest调用的选项后，我们再次浏览这个页面，这时页面向服务器发送的所有XHR对象调用都会被Firebug发现并记录下来，具体如图4所示。