IE下的一个安全BUG —— 可跟踪用户的系统鼠标位置

　IE下的DHTML有各种MS$的私有特征，已经是众所周知。其中有个比较有趣就是：event.screenX和event.screenY，可以获得系统级别的鼠标位置坐标。

　　咋一听，其实也觉得没什么。屏幕上的坐标无非就是：浏览器客户区域里的坐标 + 浏览器窗口坐标 + 客户区偏移，仅此而已。

　　IE本身就可以通过event和screen对象得到各种屏幕和窗体位置有关的信息。

　　然而，真正诡异的事还没开始！按照标准的DOM模型定义，只有在触发某个事件的时候，才能从event中获得与该事件相关的参数。

　　也就是说，只有触发mousemove，等这类mouseXXX鼠标事件时，才有权获取和鼠标有关的参数。然而，在万恶的IE下，任何事件触发后，都能获取event.screenX和event.screenY，甚至在页面最小化时！

　　当然，你可能会说这还是需要依赖一个事件。然而，这里的事件可以是任意的onxxx这类回调函数，并非局限于UI事件。于是，我们可以人为的制造它！

　　最简单的例子，给一个new Image设置一个无效的src，它的onerror事件立马就触发了！

　　于是我们可以在onerror里获取event.screenX，然后继续设置无效的src，于是就可以实时跟踪用户屏幕级别的鼠标指针了。因为onerror的产生不限于任何UI消息，因此页面最小化或非活动状态下，事件仍然能够触发！

　　测试地址：http://www.etherdream.com/FunnyScript/CursorPosTest.html

　　至于能不能获取鼠标或键盘哪个键被按下，很不幸，真的不可以。如果捕捉全局按键，哪岂不是可以监听密码输入了。。。

　　事实上，onerror这类非UI事件的触发，根本就没有任何鼠标或键盘参数传入浏览器窗体，所以也就无法获取各种鼠标键盘信息。至于event.screenX，唯一的解释估计它是event的一个Getter，内部直接调用了GetCursorPos这个Win API，并非事件的触发者提供了这属性。

　　如果某个页面植入了这样的跟踪代码，然后将坐标位置通过socket.io实时传送回来，岂不是很有趣。。。