security - "Same Origin Policy"可以给我们买什么？

Question

同源策略(SOP)经常与跨站点脚本(XSS)一起被提及。但似乎在有 SOP 的世界里，XSS 仍然时有发生。
所以我一直不清楚同源策略究竟能防止什么样的攻击？
换句话说，想象一个没有 SOP 的世界，与有 SOP 的现实世界相比，恶意攻击者还能获得什么？

我在这个网站(http://security.stackexchange.com/questions/8264/why-is-the-same-origin-policy-so-important)上读到“假设你登录了 Facebook 并访问了一个恶意网站另一个浏览器选项卡。如果没有同源策略，该网站上的 JavaScript 可以对您的 Facebook 帐户执行您被允许执行的任何操作。”。这实际上让我更加困惑，因为我从来没有听说过一个标签中的网页有任何机制可以操纵来自同一域的其他标签。
此处 (http://javascript.info/tutorial/same-origin-security-policy) 还(更明确地)提到，SOP 会阻止一个窗口中的脚本操作另一个窗口中的 DOM 元素。但我真的无法将示例与解释的内容联系起来(window 在这里是什么意思？似乎该示例在谈论 iframe)。

总而言之，谁能举一些具体的例子来说明如果没有 SOP 会发生什么？

另外，我很好奇一个窗口中的脚本如何在另一个窗口中操作 DOM 元素，假设两个窗口来自同一个域。但这不是这个问题的主要过程

谢谢!

Answer 1

I have never heard of any mechanism for webpage in one tab manipulating other tabs [...] it seems that the example is talking about iframe

iframe是获取跨窗口脚本的最简单但不是唯一的方法。另一种方法是让攻击者页面到 window.open来自 facebook.com 的文档进入一个新标签。因为 open返回选项卡的句柄 window对象，一个选项卡中的脚本可以与另一个选项卡中的内容进行交互。

如果没有 SOP，该脚本可以代表您在该选项卡中填写和提交表单。

XSS still happens from time to time. So I am never clear about what exactly kind of attacks do Same Origin Policy prevent?

没有 SOP，每个网页都容易受到 XSS 的攻击，没有人是安全的。

使用 SOP，除非作者犯错，否则网页可以安全地抵御 XSS。 XSS 仍然不时发生，因为不幸的是，站点作者确实会犯错误。