AJAX代码复杂性

　　一、多种语言和架构

　　客户端：vbscript，javascript

　　端：java，c#，php，ruby on rails，python，perl

　　表现层：html css

　　转换语言：xml，xslt，SOAP

　　查询语言：SQL

　　二、javascript特性

　　1)解释型语言，每一次错误都是运行时错误。难重现，难定位

　　2)弱类型：对变量不做检查，所有隐式声明的变量都会被认为是全局变量

　　三、异步性

　　一个通过异步方式处理数据的应用程序会同时执行多个线程，要正确协调好这些线程非常困难。最常见的问题就是竞争条件：e.g.银行系统中的存取款功能，应用程序只有在很大的负载压力下才会暴露出线程方面的漏洞。

　　AJAX应用程序的常见漏洞

　　1)像API一样的web应用程序，过度细化服务端API，使得攻击者有机会控制程序的流程(透明性)

　　2)API身份认证问题

　　3)与用户相关的敏感数据硬编码在代码中，

　　4)在javascript中会话状态，例如存储在隐藏的表单域或者cookie中

　　5)包含在客户端的注释及文档。

　　6)在客户端进行数据交换，将原始的数据转换为HTML代码，在许多情况下，返回的响应信息中包含的都是XML或者JSON格式的原始数据，

　　AJAX透明性，可以通过代码混淆来隐藏应用程序逻辑的很好办法。

　　劫持AJAX应用程序

　　JavaScript的动态特性使得其他JavaScript程序可以自动修改某个AJAX应用程序的源代码。方法冲突(在同一个作用域内，最后声明的同名方法会默认覆盖掉之前的方法声明)不仅可以用来重写某个方法的实现，还可以被动监视程序中的数据流向。任何人对客户端代码进行反向工程分析，即使它是一部分一部分动态加载的。由某个用户定义的方法不仅能覆盖其他用户定义的方法，还可以覆盖像window.alert()这样的内置方法，甚至是原生的对象构造方法。这使得攻击者可以实现JSON劫持攻击，窃取由AJAX返回的JSON内容。