Web前端安全策略之CSRF的攻击与防御

最新推荐文章于 2024-07-20 18:16:53 发布

2401_84093248

最新推荐文章于 2024-07-20 18:16:53 发布

阅读量642

点赞数 13

分类专栏：程序员文章标签：前端 csrf

本文链接：https://blog.csdn.net/2401_84093248/article/details/138880420

版权

275 篇文章 0 订阅

订阅专栏

跨站请求伪造，英文全称为Cross Site Request Forgery ，缩写CSRF，这种攻击模式用通俗易懂的话来讲就是：攻击者借用你的用户身份，来完成一些需要依靠用户信息来完成的事情，例如转账、发送邮件……

我们来以转账为例，假设下面是一个转账支付页面：

在这里插入图片描述

这一段转账的流程很重要，一定要看懂：

只要用户登录了自己的账户，这个支付页面就会显示用户的名称、以及余额，在下面的表单里，只要填上目标账户名（target_user）以及转账金额（money），点击提交，客户端就会将 target_user 和 money 两个参数发送给服务器。
服务器接收到该请求，并且接收到了这两个参数。然后判断转账用户是否已登录（实质就是判断客户端是否有该用户的cookie信息），是的话就将该账户里的余额转一定金额（money）给目标账户（target_user），这样就完成了钱的转账。

我们了解完正常的转账流程，我们再来看看攻击者是如何进行跨站域请求伪造的：

首先攻击者自己模仿这个转账网页，写了一个表单，表单的参数名也都写的跟这个网页相同，并且直接填好了提交表单的参数（转账的目标账户：攻击者自己的账户，转账金额：看攻击者想要多少钱了），如下面的代码

Title

攻击者再设置一个非常吸引人的网页，比如说该网页里面有很多美女的图片，同时攻击者在里面放了一个 iframe标签，并且该标签设置为不可见，让别的用户无法察觉，该标签里面加载的是步骤1中设置的网页，代码如下：

Title

当用户被攻击者诱导着去点击了这个诱人的网站以后，用户正开心的欣赏着网页里的图片呢，但是这个隐藏的 iframe 标签已经加载了攻击者设计的自动提交表单页面，此时提交的表单参数就是攻击者设计好的，即 target_user=blackPerson&money=1000 ，该表单请求正常发送给服务器。
服务器接收到该表单请求，同时接收到请求参数。先判断用户是否登录（判断是否存在用户的 cookie 信息），因为这个请求是在正常用户浏览器上发送的，所以服务器会判断为该用户已登录；然后就将该用户的钱转1000（money）到 blackPerson （target_user）的账户上。
就这样，一次跨站请求伪造就完成了，看看你们以后谁还敢乱登网站看图片哈哈哈哈哈，废话不多说，我们接下来看看如何防御这种攻击吧。

防御跨站请求伪造的方式一共有三种：

该方法好处就是可以防御跨站请求伪造，因为攻击者设计的自动表单提交无法自动判断验证码是多少；坏处就是用户体验感会差，因为每次提交转账都要输入验证码。

这里推荐一个 node.js 的一个自动生成验证码的库svg-captcha，具体使用方式可以自己去github上查看，使用十分简单，下面放上一个链接——GitHub sva-captcha

最后

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数初中级Android工程师，想要提升技能，往往是自己摸索成长，自己不成体系的自学效果低效漫长且无助。

因此收集整理了一份《2024年Web前端开发全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Android开发知识点！不论你是刚入门Android开发的新手，还是希望在技术上不断提升的资深开发者，这些资料都将为你打开新的学习之门！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！
是希望在技术上不断提升的资深开发者，这些资料都将为你打开新的学习之门！**

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！

关注