csrf和ssrf的区别，攻击如何防护

网安学习

于 2024-05-29 10:15:00 发布

阅读量585

点赞数 29

分类专栏：程序员网络安全漏洞文章标签： csrf 网络服务器 csrf和ssrf的区别 ssrf和csrf漏洞区别

本文链接：https://blog.csdn.net/2302_76672693/article/details/139219834

版权

网络安全同时被 3 个专栏收录

377 篇文章 2 订阅

订阅专栏

程序员

300 篇文章 2 订阅

订阅专栏

漏洞

6 篇文章 0 订阅

订阅专栏

文章目录

前言
如何入门学习网络安全【黑客】
资料领取

前言

CSRF（跨站请求伪造）和SSRF（服务器端请求伪造）都是网络安全中的常见攻击类型，但它们的目标和攻击方式有所不同。理解这两种攻击的区别对于有效地防御它们至关重要。

CSRF和SSRF的主要区别在于攻击的发起者和目标。CSRF利用了用户的浏览器来攻击用户已经认证的Web应用，而SSRF直接利用了服务器端应用来发起对其他系统的请求。两者都需要通过严格的输入验证和适当的安全措施来防御。

在这里插入图片描述

CSRF（跨站请求伪造）

目标：CSRF攻击目标是利用网站用户的浏览器，迫使用户在已认证的Web应用中执行非预期的操作。
工作原理：
- 攻击者诱使受害者访问一个包含恶意请求的网页（如通过邮件、消息或恶意网站）。
- 如果受害者已经登录目标网站，该恶意请求看起来就像是来自受害者本人，因此被目标网站信任并执行。
攻击示例：
- 如果一个银行网站存在CSRF漏洞，攻击者可以构造一个表单，当受害者访问这个表单时，可能会无意中执行一次转账操作。
防御措施：
- 使用CSRF令牌，确保每次请求都是用户明确意图的结果。
- 检查Referer头部，验证请求的来源。

SSRF（服务器端请求伪造）

目标：SSRF攻击目标是迫使服务器端应用发起对内部或外部资源的请求。
工作原理：
- 攻击者将恶意请求发送到服务器端应用。
- 服务器端应用在没有充分验证输入的情况下，执行了这个请求，可能访问了内部系统或向外部发送敏感数据。
攻击示例：
- 如果一个Web应用允许用户指定用于获取数据的URL，攻击者可以利用这个功能来让服务器访问内部服务，如数据库或管理接口。
防御措施：
- 限制服务器可以访问的URL或IP地址。
- 对用户提供的数据进行严格的验证和过滤。

针对CSRF（跨站请求伪造）和SSRF（服务器端请求伪造）这两种攻击，可以采取一系列防御措施来保护系统和数据。下面分别介绍针对这两种攻击的防护策略。

针对CSRF的防护

使用CSRF令牌：
- 在表单提交或重要的请求中使用CSRF令牌（也称为anti-CSRF令牌），确保每个请求都是用户明确意图的结果。
检查Referer头：
- 验证HTTP请求的Referer头部，以确保请求是从可信的源发起。
使用SameSite Cookie属性：
- 设置Cookie的SameSite属性，限制Cookie在跨站请求中的发送。例如，设置为SameSite=Strict可防止Cookie在跨站请求中使用。
自定义请求头：
- 在Ajax请求中使用自定义HTTP头。由于跨站请求通常不能设置自定义头，这增加了安全性。
避免GET请求进行状态改变：
- 对于任何改变状态的操作，应使用POST请求而不是GET请求。

针对SSRF的防护

输入验证和过滤：
- 对所有的用户输入进行严格的验证。特别是那些用于指定资源位置（如URLs）的输入，应限制只能访问预定义的安全域名或IP地址。
禁用不必要的协议：
- 禁止应用程序使用对安全性有风险的协议，例如file://、dict://、ftp://等。
网络隔离和分层：
- 尽量隔离内部网络，防止服务器直接访问关键内部资源。
限制出站数据流量：
- 限制服务器发出的数据流量和请求频率，以减少潜在的危害。
使用安全列表而非黑名单：
- 使用安全列表来指定允许的服务器出站请求，而不是试图列出所有可能的恶意请求模式。
错误处理：
- 适当管理错误响应，以防泄露关于内部网络结构的信息。

网络安全学习资源分享:

给大家分享一份全套的网络安全学习资料，给那些想学习网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

因篇幅有限，仅展示部分资料，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，可前往文末获取

如何入门学习网络安全【黑客】

> ① 网安学习成长路径思维导图
> ② 60+网安经典常用工具包
> ③ 100+SRC漏洞分析报告
> ④ 150+网安攻防实战技术电子书
> ⑤ 最权威CISSP 认证考试指南+题库
> ⑥ 超1800页CTF实战技巧手册
> ⑦ 最新网安大厂面试题合集（含答案）
> ⑧ APP客户端安全检测指南（安卓+IOS）