javascript - Firefox Scratchpad 的 javascript 代码比标准网站 javascript 代码有更多权限？

Question

我刚刚复制粘贴并在 Scratchpad 中运行一段代码形成网站的源代码。

我想知道这段代码运行时是否有更多权限通过 Scratchpad Firefox 或具有与直接通过网页运行时相同的权限。

在 Scratchpad 上粘贴之前，Firefox 会提示此消息:

Scam Warning: Take care when pasting things you don't understand.
This could allow attackers to steal your identity or take control of your computer.

我知道有一些 javascript 漏洞可以通过网站运行但是..

来自 Firefox 的信息看起来是这样的:

"The javascript on Scratchpad has more privileges than a Javascript of a webpage and the attackers can steal without exploits, just with standar code"

这是真的吗？

在安全方面，相同的代码在网站和 Scratchpad 中的行为可能不同？

或者就像将它包含在 html 中，所有安全措施都在网站中包含 javascript？

为什么 Firefox 在 Scratchpad 上提醒我们一些只要访问恶意网页(潜在的 javascript 攻击)就可以完成的事情？

Answer 1

默认情况下，在暂存器中运行的代码可以执行您正在查看的网站上的 JavaScript 可以执行的任何操作，不多也不少。这意味着它可以从该站点访问您的数据，并可能在不告诉您的情况下将其发送到其他地方，或者它可以在该站点上假装是您。您看到的消息是对不是编码人员的粗心用户的警告，以防止他们将可能会执行某些操作的恶意代码粘贴到暂存器中，只是因为有人告诉他们这样做，因为他们无法分辨该代码是恶意的。如果您访问 Facebook 并查看浏览器控制台，您会看到一个解释相同内容的类似警告，因为这是一种相当常见的社会工程攻击类型。

现在，我之前说过“默认”，让我解释一下我的意思。也可以将暂存器从“内容”模式更改为“浏览器”模式。为此，您必须在开发人员工具设置中启用该选项(称为“启用浏览器 chrome 和附加调试工具箱”)，然后使用环境菜单将暂存器切换到浏览器模式。如果您执行这些操作，则暂存器可以执行浏览器本身(而不是特定网站)可以执行的任何操作。所以在那种模式下运行的暂存器确实比网页拥有更多的权限；它可以做 native 应用程序可以做的任何事情。但内容模式是默认模式，它具有与网页完全相同的权限设置。