不好，有敌情，遭到CSRF攻击【网络安全篇】

CSRF(跨站请求伪造)：攻击者盗用了你的身份，以你的名义向网页发送恶意请求，用你的名义发送一些邮件、消息，盗取你的账号、购买物品或将你的虚拟币进行转账。

CSRF模拟

1.这个服务端模拟一个有漏洞并且你正在正常访问的一个网站，这个网站中有transfer（转账） 接口

2.他有两个参数to_user（用户名称） 和money（额度），确定！被登陆拦截掉

3.模拟登录完成，再次触发接口

4.因为我们的登录状态是通过cookie来保存的，所以我们刷新网页就会触发请求，不断转账

5.那我们操作完成后，我们进入另外一个网页，发现控制台地址正是我们转账请求

6.看看我们服务台的日志，钱被转走了，实际上这个网站就是黑客利用图片资源去嵌入了恶意的转账操作，并且他可以把to_user改为任意用户

7.post请求？
post请求也是同理，只不过复杂一些，嵌入iframe，构建隐藏表单，当用户访问网站自动触发post请求，就造成CSRF攻击

防御CSRF

CSRF攻击的本质原因是因为我们这边正常网站的Web服务器验证不够，目前服务器验证方式只是验证了用户的SESSION存在，那么他就是一种已经登录的状态，这样我们无法保证某一次请求是不是这个用户触发的，在现代的APP或短信交易中，我们要输入手机的短信验证码，但是有的网站并不是属于这种敏感交易的，所以就不会做这些限制，那么我们如何让黑客没法操作接口的CSRF呢？

尽量使用POST请求

get接口太容易被人利用了，我们看到第一个实例就知道，我们只要构造一个<img>标签，而img又是不能过滤的一个数据，所以接口尽量限制为一个post请求，但是并不是万无一失，只要攻击者构造表单，还是被攻击

加入验证码

因为攻击者构造的是伪造请求，只需要用户在敏感操作的时候，弹出验证，这样的话能确保这是一个用户的行为，而非黑客的行为

验证Referer

http写的的头上面有一个字段叫做Referer，它能够记录当前请求的来源地址，如果从别的站点来请求，Referer就会和当前网站不同域名，这样服务端判断Referer就可以了
弊端：有可能被篡改请求头

Anti CSRF Token

CSRF攻击之所以能够成功，主要是因为黑客可以完全伪造用户的请求，在这一次请求中，用户的信息实际上是存在于cookie中的，所以黑客可以在不知道这些验证信息的情况下，直接利用用户的cookie去跳过安全验证，我们要防御CSRF关键是要在请求放入的时候黑客不能去伪造这个信息，并且这个信息不存在于cookie之中

每当刷新token都会更新，当我们请求提交的时候就会把这个token 带给服务端，服务端验证token请求通过，销毁token，使用服务端重新返回的token

最后

相信到这里，你对CSRF攻击也有一些了解了，这种攻击方式是黑客利用我们登录的这种状态，在我们登录的网站里操作了一些隐私敏感的功能，但我们通过相对应的防御手段就可以防御住这波敌情，最终取得胜利。

最后

为了帮助大家更好的学习网络安全，小编给大家准备了一份网络安全入门/进阶学习资料，里面的内容都是适合零基础小白的笔记和资料，不懂编程也能听懂、看懂，所有资料共282G，朋友们如果有需要全套网络安全入门+进阶学习资源包，可以点击免费领取（如遇扫码问题，可以在评论区留言领取哦）~

😝有需要的小伙伴，可以点击下方链接免费领取或者V扫描下方二维码免费领取🆓

👉CSDN大礼包🎁：全网最全《网络安全入门&进阶学习资源包》免费分享（安全链接，放心点击）👈

​

1️⃣零基础入门

① 学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

② 路线对应学习视频

同时每个成长路线对应的板块都有配套的视频提供：

因篇幅有限，仅展示部分资料

2️⃣视频配套资料&国内外网安书籍、文档

① 文档和书籍资料

② 黑客技术

因篇幅有限，仅展示部分资料

👉CSDN大礼包🎁：全网最全《网络安全入门&进阶学习资源包》免费分享（安全链接，放心点击）👈

​

3️⃣网络安全源码合集+工具包

4️⃣网络安全面试题

5️⃣汇总

所有资料 ⚡️ ，朋友们如果有需要全套 《网络安全入门+进阶学习资源包》，扫码获取~

👉CSDN大礼包🎁：全网最全《网络安全入门&进阶学习资源包》免费分享（安全链接，放心点击）👈

​