XSS、CSRF、SSRF原理

已于 2022-04-19 17:42:38 修改
阅读量228 收藏
点赞数
分类专栏： 漏洞原理 文章标签： web安全 安全
于 2022-04-19 17:38:01 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/DigTomb/article/details/124279247
版权
CSRF（跨站请求伪造）是一种网络攻击方式，攻击者利用受害者浏览器携带的身份验证信息，以受害者的名义发起恶意请求，执行非预期操作。攻击成功通常由于服务器端未对用户提交数据进行校验，且对refer字段检查不足。危害包括隐私泄露和财产损失。防护措施包括使用referer检测、token或验证码，避免在链接中暴露隐私，用POST替代GET操作，并严格设置cookie域。
摘要由CSDN通过智能技术生成

CSRF原理

CSRF（Cross-site Request Forgery，跨站请求伪造）

1.定义：

被攻击者的浏览器被迫向目标站点发起了伪造的请求，这个过程会带上被攻击者的身份验证标识（session）以通过目标站点的验证。从而借用被攻击者在目标站点上的权限进行一系列不被期望的操作。攻击者盗用了你在某个网站的身份，以你的名义发送恶意请求。

2.漏洞原理：服务器端没有对用户提交的数据进行随机值校验，且对http请求包内的refer字段校验不严，导致攻击者可以利用用户的Cookie信息伪造用户请求发送至服务器。

在这里插入图片描述

3.攻击流程

1、用户登录信任网站A
2、验证通过，在用户处产生A的COOKIE
3、用户在没有登出的情况下，访问了危险网站B
4、B要求访问第三方站点A,发送一个请求（request）
5、根据B在（4）的请求，浏览器带着（2）产生的COOKIE访问A
6、A不知道（5）中的请求是用户发出的还是B发出的，由于浏览器会自动用户的COOKIE，所以A会根据用户的权限处理（5）的请

最低0.47元/天 解锁文章
Tomb Hao
关注
专栏目录
csrf和ssrf漏洞的原理是？如何防御和利用csrf和ssrf漏洞
DXfighting_的博客
04-14 940
Csrf原理： CSRF是一种依赖web浏览器的、被混淆过的代理人攻击。 防御csrf漏洞： 验证token，验证HTTP请求的Referer，还有验证XMLHttpRequests里的自定义header Ssrf漏洞原理： 很多web应用都提供了从其他的服务器上获取数据的功能。使用指定的URL，web应用便可以获取图片，下载文件，读取文件内容等。SSRF的实质是利用存在缺陷的web应用作为代理攻击远程和本地的服务器。一般情况下， SSRF攻击的目标是外网无法访问的内部系统，黑客可以利用S
XSS、CSRF、SSRF漏洞原理以及防御方式
Love_Naive的博客
09-03 5331
这里写目录标题XSSXSS攻击原理：XSS的防范措施主要有三个：编码、过滤、校正CSRFCSRF攻击攻击原理及过程如下：CSRF攻击的防范措施：SSRFSSRF漏洞攻击原理以及方式SSRF漏洞攻击的防范措施XMLXSS、CSRF、SSRF的区别XSS、CSRF的区别 XSS XSS（Cross Site Scripting）：跨域脚本攻击。 XSS攻击原理： 不需要你做任何的登录认证，它会通过合法的操作（比如在url中输入、在评论框中输入），向你的页面注入脚本（可能是js、hmtl代码块等）。 X
XSS CSRF SSRF
Daoke37的博客
03-19 369
XSS (跨站脚本攻击) 不需要你做任何的登录认证，它会通过合法的操作（比如在url中输入、在评论框中输入），向你的页面注入脚本（可能是js、hmtl代码块等）。 类型：反射型XSS、存储型XSS、DOM型XSSS； 防范：XSS的防范措施主要有三个：编码、过滤、校正 设置xss filter 定制过滤策略 输出编码 黑名单白名单 设置http only CSRF（跨站请求伪造） CSRF（Cross-site request forgery）：跨域请求伪造，也被称为One Click Attack或
XSS、CSRF、SSRF漏洞原理以及防御方式_xss csrf ssrf
最新发布
weixin_57514792的博客
07-27 811
XSS、CSRF、SSRF漏洞原理以及防御方式_xss csrf ssrf
XSS、CSRF、SSRF
网络安全知识分享
09-22 8634
XSS、CSRF、SSRF相同不同修复方式面试题： 相同不同 相同点： XSS，CSRF,SSRF三种常见的Web服务端漏洞均是由于，服务器端对用户提供的可控数据过于信任或者过滤不严导致的。 相同点： XSS，CSRF,SSRF三种常见的Web服务端漏洞均是由于，服务器端对用户提供的可控数据过于信任或者过滤不严导致的。 不同点： XSS是服务器对用户输入的数据没有进行足够的过滤，导致客户端浏览器在渲染服务器返回的html页面时，出现了预期值之外的脚本语句被执行。 CSRF(跨站请求伪造)是服务器端没有对用户
网络安全Web篇（一）（xss、csrf、ssrf）
划水的小白白
12-13 740
记录一下基础的知识（xss、csrf、ssrf） xss: 跨站脚本攻击，来自用户的不可信数据在没有验证情况下被应用，导致浏览器引擎执行了非预期代码 1，反射型： 测试一般就弹个窗，黑个网页，比如： ?<html>=<script>alert(1)</script> 2，存储型： （在输出点与输出点没有做限制） 非法代码被上传保存到数据库。再从数据...
渗透测试-一文读懂XSS、CSRF、SSRF、XXE漏洞原理、应用、防御
lza20001103的博客
08-25 2691
一文读懂XSS、CSRF、SSRF、XXE漏洞原理、应用、防御 文章目录一文读懂XSS、CSRF、SSRF、XXE漏洞原理、应用、防御一、相同点与不同点相同点不同点XXE漏洞二、防御1、XSS2、CSRF3、SSRF4、XXE三、面试题 一、相同点与不同点 相同点 XSS，CSRF,SSRF三种常见的Web服务端漏洞均是由于，服务器端对用户提供的可控数据过于信任或者过滤不严导致的。 不同点 XSS是服务器对用户输入的数据没有进行足够的过滤，导致客户端浏览器在渲染服务器返回的html页面时，出现了预期值之外的
XSS、CSRF、SSRF漏洞的攻击原理以及防御
qq_57307348的博客
02-24 1199
XSS xss：跨站脚本攻击，不需要做任何的登录认证，通过合法的操作（比如在url中输入、在评论框中输入），向你的页面注入脚本程序或者攻击者在Web页面里插入恶意script代码，当用户浏览该页之时，嵌入Web里面的script代码会被执行，从而达到恶意攻击用户的目的。 攻击条件 向web页面注入恶意代码 这些恶意代码能够被浏览器成功的执行 攻击原理 xss漏洞的主要原因是程序对输入和输出的控制不够严格，导致“精心构造”的脚本输入后， 在输到前端时被浏览器当作有效...
安全防范 XSS 、CSRF、SSRF
Yweivvv的博客
04-01 1043
XSS 简单点来说，就是攻击者想尽一切办法将可以执行的代码注入到网页中。 XSS 可以分为多种类型，但是总体上我认为分为两类：持久型和非持久型。 持久型也就是攻击的代码被服务端写入进数据库中，这种攻击危害性很大，因为如果网站访问量很大的话，就会导致大量正常访问页面的用户都受到攻击 CSRF 中文名为跨站请求伪造。原理就是攻击者构造出一个后端请求地址，诱导用户点击或者通过某些途径自动发起请求。如果用...
XSS、CSRF、SSRF的概念，防御和实验
ploto_cs的博客
09-22 1405
XSS、CSRF、SSRF的概念，防御和实验 一．概念 相同点： XSS，CSRF，SSRF三种常见的Web服务端漏洞均是由于，服务器端对用户提供的可控数据过于信任或者过滤不严导致的。 不同点： XSS是服务器对用户输入的数据没有进行足够的过滤，导致客户端浏览器在渲染服务器返回的html页面时，出现了预期值之外的脚本语句被执行。 CSRF(跨站请求伪造)是服务器端没有对用户提交的数据进行随机值校验，且对http请求包内的refer字段校验不严，导致攻击者可以利用用户的Cookie信息伪造用户请求发送至服务器
xss,csrf,ssrf
wuqing2012mxd的博客
06-11 192
xss 跨站脚本攻击 比如:要攻击a.com的网站,b.com上有一个img标签,然后里面设置的是一个a网站的比如说改变什么数据的url(get)请求,,,这样子,一进入b网站就会请求那个url,
csrf&ssrf漏洞详解
weixin_56714714的博客
07-25 1482
CSRF 什么是CSRF？ 跨站请求伪造也叫CSRF/XSRF 攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等。如下：其中Web A为存在CSRF漏洞的网站，Web B为攻击者构建的恶意网站，User C为Web A网站的合法用户。 CSRF攻击的危害 CSRF攻击:攻击者盗用了你的身份，以你的名义发送恶意请求 CSRF危害：以你的名义发送邮件，发
一文了解XSS，CSRF，SSRF的区别
allintao的博客
03-02 2545
本文章主要简单介绍一下关于XSS,CSRF,SSRF的区别
白帽子（4）-csrf，ssrf, xss的区别
CPriLuke的博客
12-20 564
XSS攻击过程 攻击者发现xss漏洞 → 构造代码 → 发送给受害人 → 受害者打开 → 攻击者获取受害人的cookie → 完成攻击 攻击者：需要登录到后台完成攻击 CSRF攻击过程 攻击者发现xss漏洞 → 构造代码 → 发送给受害人 → 受害者打开 → 受害者执行代码 → 完成攻击 总结： CSRF攻击者只负责构造代码，攻击由用户实现，CSRF少了cooke获取的步骤，为什么少了呢？因为受害人在执行恶意代码的时候就已经外成了攻击，而攻击者并没有参与进来 ...
owasp漏洞常见基础安全面试题 --XSS、CSRF、SSRF
ouyang_ly的博客
09-09 1143
XSS跨站脚本攻击： XSS原理：将一段恶意攻击的脚本写入网站参数中，当普通用户访问网站时会自动执行攻击者留 下的攻击代码，如果xss类型为反射型，则用户会出现弹窗警告；如果类型为存储型， 那么用户访问网站的cookie值将会发送给攻击者，攻击者通过cookie值获取用户的网站 权限。 XSS存在原因：没有对网站的提交的URL数据进行过滤。 XSS的类型： 1.反射型（构造js语句实...
一篇文章读懂XSS、CSRF和SSRF的异同
weixin_44681434的博客
01-23 1740
写在前面 首先一起回顾一下这三种漏洞的定义 XSS是黑客通过“HTML”注入篡改网页，插入了恶意脚本，当用户在浏览网页时，实现控制用户浏览器行为的一种攻击方式。 CSRF是指利用用户已登录的身份，在用户毫不知情的情况下以用户的名义完成的操作； SSRF是指攻击者能够从易受攻击的web应用程序发送精心设计的请求包对其他网站进行攻击。 三者异同 XSS和CSRF的相同点，它们都是利用浏览器发送数据包，而SSRF是在服务器上执行让服务器偷偷发送数据包；另外，CSRF和XSS都会利用到Cookie，但CSRF是利用
XSS、CSRF、SSRF漏洞原理以及防御方式_xss、csrf、ssrf原理与防御
yy1715713348的博客
04-01 1357
XSS（Cross Site Scripting）：跨域脚本攻击。
以下php代码会造成 （2分） A SQL注入 B XSS C SSRF D CSRF
06-08
代码如下： ```php if(isset($_GET['submit'])){ $username = $_GET['username']; $password = $_GET['password']; $sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'"; $result = mysqli_query($conn, $sql); if(mysqli_num_rows($result) > 0){ echo "Login Success"; } else{ echo "Login Failed"; } } ``` 该代码存在SQL注入漏洞，攻击者可以在`username`或`password`参数中注入恶意SQL语句，从而导致数据库被攻击者控制，或者获取到敏感信息。 答案：A SQL注入。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值