Политика одинакового происхождения (SOP) часто упоминается вместе с межсайтовым скриптингом (XSS). Но похоже, что в мире с SOP XSS все еще случается время от времени. Так что я никогда не понимаю, какие именно атаки предотвращает Same Origin Policy? Другими словами, представьте себе мир без SOP, какую еще мощь может получить злоумышленник по сравнению с реальным миром с SOP?
Я прочитал на этом веб-сайте (http://security.stackexchange.com/questions/8264/why-is-the-same-origin-policy-so-important), что «Предположим, вы вошли в Facebook и посещаете вредоносный веб-сайт в другая вкладка браузера. Без той же политики происхождения JavaScript на этом веб-сайте может делать с вашей учетной записью Facebook все, что вам разрешено. ". Это на самом деле сбивает меня с толку, потому что я никогда не слышал о каком-либо механизме для веб-страницы на одной вкладке, управляющей другими вкладками даже из того же домена. Здесь также упоминается (более подробно) (http://javascript.info/tutorial/same-origin-security-policy), что SOP не позволяет сценарию в одном окне манипулировать элементами DOM в другом окне. Но я действительно не могу соотнести этот пример с тем, что объясняется (что здесь означает окно? Кажется, что в примере говорится об iframe).
Подводя итог, можно ли привести конкретные примеры того, что могло бы произойти, если бы не было СОП?
Кроме того, мне любопытно, как сценарий в одном окне может управлять элементами DOM в другом окне, предполагая, что два окна находятся в одном домене. Но это не главный ход этого вопроса.
Спасибо!
