杭州市网站建设,济南做网站建设公司,免费发帖推广平台有哪些,沈阳智能模板建站CSRF漏洞介绍#xff1a;CSRF#xff08;Cross-Site Request Forgery#xff09;#xff0c;中文名称#xff1a;跨站请求伪造#xff0c;是一种劫持用户在当前已登录的Web应用程序上执行非本意操作一种攻击.原理#xff1a;攻击者利用目标用户的身份#xff0c;执行某…CSRF漏洞介绍CSRFCross-Site Request Forgery中文名称跨站请求伪造是一种劫持用户在当前已登录的Web应用程序上执行非本意操作一种攻击.原理攻击者利用目标用户的身份执行某些非法的操作 跨站点的请求请求的来源可以是非本站 请求是伪造的请求的发出不是用户的本意。攻击者先让受害者登录一个需要权限验证的网站当用户完成验证后权限凭证会被保存到本地下次发送请求时会一同发送到服务器作为验证信息。然后诱导受害者打开一个攻击者编写的恶意网站这个恶意网站会发送相关请求去执行一些操作如发邮件发消息甚至财产操作如转账和购买商品利用受害者之前保存的权限凭证绕过服务端验证从而完成攻击。这利用了web中用户身份验证的一个漏洞简单的身份验证只能保证请求发自某个用户的浏览器却不能保证请求本身是用户自愿发出的。危害以用户的名义发邮件/发消息转换/购买商品等;修改密码;删除文章等CSRF攻击过程满足了上面的必要条件才可以触发当用户已经登录成功了一个网站然后通过被诱导进了第三方网站「钓鱼网站」跳转过去了自动提交表单冒用受害者信息后台则正常走逻辑将用户提交的表单信息进行处理CSRF漏洞产生得原因http协议使用session在服务端保存用户个人信息客户端浏览器用cookie标识用户身份cookie的认证只能确保是某个用户发送的请求但不能保证该请求是否为自愿行为用户如果登录某个web站点同时点击了包含CSRF恶意代码的URL就会触发CSRF漏洞利用条件用户必须登录网站A生成cookie登录的同时访问了恶意URLCSRF攻击类型GET类型仅需一个HTTP请求img srchttp://a.com/withdraw?amount10000forhacker 在受害者访问含有img页面后浏览器会自动向a.com发出一次请求POST类型这种类型的CSRF利用通常使用一个自动提交的表单form actionhttp://a.com/withdraw methodPOSTinput typehidden nameaccount valueairing /input typehidden nameamount value10000 /input typehidden namefor valuehacker /
/form
script document.forms[0].submit(); /script访问该页面后表单会自动提交相当于模拟用户完成了一次 POST 操作。可见这种类型的 CSRF 与第一种一样都是模拟请求所以后端接口也不能将安全寄托在仅允许 POST 请求上。链接类型比起其他两种用户打开页面就中招的情况这种需要用户点击链接才会触发但本质上与前两种一样。这种类型通常是在论坛中发布的图片中嵌入恶意链接或者以广告的形式诱导用户中招攻击者通常会以比较夸张的词语诱骗用户点击例如a hrefhttp://a.com/withdraw.php?amount1000forhacker taget_blank点击就送888代金券
a/XSS和CSRF的区别xss攻击遵顼双向攻击模式允许攻击者执行恶意脚本、访问响应并将后续敏感数据发送给攻击者。csrf攻击是一种单向攻击机制攻击者只能发送http请求但不能检索已发请求的响应csrf攻击要求经过身份验证的用户处于活动会话中而xss不需要在xss中只要用户登录就可以存储和交付有效载荷csrf攻击范围有限仅限于用户可执行的操作例如点击恶意链接或访问hacker的网站,xss提供执行恶意脚本来执行攻击者所选择的任何活动扩大攻击范围CSRF防御思路验证Referer字段请求地址中添加token并验证Samesite Cookie双重Cookie验证当前用户打开其他用户填写的链接时需告知风险知乎跳转外链等等都会告知风险。
