Web前端安全策略之CSRF的攻击与防御

最新推荐文章于 2024-07-25 14:02:05 发布

2401_83739727

最新推荐文章于 2024-07-25 14:02:05 发布

阅读量825

点赞数 26

分类专栏： 2024年程序员学习文章标签：前端 csrf

本文链接：https://blog.csdn.net/2401_83739727/article/details/137661660

版权

285 篇文章 0 订阅

订阅专栏

没看过之前的文章的小伙伴，可以先看一下，这里放一个链接——Web前端安全策略之XSS的攻击与防御

公众号：前端印象

不定时有送书活动，记得关注~

关注后回复对应文字领取：【面试题】、【前端必看电子书】、【数据结构与算法完整代码】、【前端技术交流群】

正文

===========================================================

跨站请求伪造（CSRF）

跨站请求伪造，英文全称为Cross Site Request Forgery ，缩写CSRF，这种攻击模式用通俗易懂的话来讲就是：攻击者借用你的用户身份，来完成一些需要依靠用户信息来完成的事情，例如转账、发送邮件……

我们来以转账为例，假设下面是一个转账支付页面：

在这里插入图片描述

这一段转账的流程很重要，一定要看懂：

只要用户登录了自己的账户，这个支付页面就会显示用户的名称、以及余额，在下面的表单里，只要填上目标账户名（target_user）以及转账金额（money），点击提交，客户端就会将 target_user 和 money 两个参数发送给服务器。
服务器接收到该请求，并且接收到了这两个参数。然后判断转账用户是否已登录（实质就是判断客户端是否有该用户的cookie信息），是的话就将该账户里的余额转一定金额（money）给目标账户（target_user），这样就完成了钱的转账。

我们了解完正常的转账流程，我们再来看看攻击者是如何进行跨站域请求伪造的：

首先攻击者自己模仿这个转账网页，写了一个表单，表单的参数名也都写的跟这个网页相同，并且直接填好了提交表单的参数（转账的目标账户：攻击者自己的账户，转账金额：看攻击者想要多少钱了），如下面的代码

Title

攻击者再设置一个非常吸引人的网页，比如说该网页里面有很多美女的图片，同时攻击者在里面放了一个 iframe标签，并且该标签设置为不可见，让别的用户无法察觉，该标签里面加载的是步骤1中设置的网页，代码如下：

Title

当用户被攻击者诱导着去点击了这个诱人的网站以后，用户正开心的欣赏着网页里的图片呢，但是这个隐藏的 iframe 标签已经加载了攻击者设计的自动提交表单页面，此时提交的表单参数就是攻击者设计好的，即 target_user=blackPerson&money=1000 ，该表单请求正常发送给服务器。
服务器接收到该表单请求，同时接收到请求参数。先判断用户是否登录（判断是否存在用户的 cookie 信息），因为这个请求是在正常用户浏览器上发送的，所以服务器会判断为该用户已登录；然后就将该用户的钱转1000（money）到 blackPerson （target_user）的账户上。
就这样，一次跨站请求伪造就完成了，看看你们以后谁还敢乱登网站看图片哈哈哈哈哈，废话不多说，我们接下来看看如何防御这种攻击吧。