CSRF-跨站请求伪造的原理与修复方式

已于 2023-03-31 17:02:22 修改
阅读量387 收藏
点赞数
分类专栏： 安全测试 文章标签： 面试 安全性测试
于 2023-03-31 14:28:07 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/bingtanggululu/article/details/129879080
版权

CSRF: Cross site Request Forgery 跨站请求伪造

 

原理：

利用xss方式注入一段脚本，通过伪装来自受信任用户的请求来利用受信任的网站，当受害者在浏览器中运行该脚本时，脚本仿冒受害者，向合法的web系统发送一个请求，这个请求会被web系统当做受害者主动提出的合法请求，进而利用合法用户的身份执行攻击者指定的操作。

以下是来自一个典型例子

修复方式：

1.检查Referer字段

2.添加校验token

注意看，这个 妹子叫小美
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Spring Boot项目CSRF (跨站请求伪造)攻击演示与防御
oscar999的专栏
07-17 1361
CSRF ，Cross-site request forgery，跨站请求伪造。是常见的网络攻击的方式之一，2007年曾被列为互联网20大安全隐患之一。攻击过程是攻击者伪造用户的浏览器请求，访问一个用户曾经访问过的网站， 使目标网站误以为是用户的操作而执行命令。 本篇j基于Spring Boot创建项目，用来演示CSRF 的攻击过程。...
CSRF-跨站请求伪造
OneOneZzzzzz
09-19 947
CSRF-跨站请求伪造 旧版本设备被测试出来的csrf漏洞，跨站请求伪造，一直没明白什么意思，趁着版本还没有修复，正好可以将这个问题复现一下，清楚下整个过程和防护的手段，但是通过什么样的方式去达到实际攻击的效果还是没能想通，达到这样的攻击的前提是获取到有效的cookie或者是请求的发送是在用户的同一个浏览器，那么只要页面的关闭和账号的退出未导致cookie失效，那么也能攻击 实际上是利用被攻击人有效的cookie，进行请求的伪造提交数据，那么得不到用户的cookie可以想办法他使用的浏览器发送请求，那
什么是 CSRF 、原理及其解决方式
Innocence_0的博客
05-13 643
验证 HTTP Referer 字段根据 HTTP 协议，在 HTTP 头中有一个字段叫 Referer，它记录了该 HTTP 请求的来源地址。那么转账的操作一定是用户登录知乎在本站点的页面上操作的，因为可以将Referer字段限制为只允许本站点。在请求地址中添加token并验证CSRF 攻击之所以能够成功，是因为黑客可以完全伪造用户的请求，该请求中所有的用户验证信息都是存在于 cookie 中，因此黑客可以在不知道这些验证信息的情况下直接利用用户自己的 cookie 来通过安全验证。
【CSRF-01】跨站请求伪造漏洞基础原理及攻防
m0_64378913的博客
07-01 1711
定义：CSRF（Cross-site request forgery，跨站请求伪造） 也被称为One Click Attack 或者 Session Riding ，通常缩写为 CSRF或者XSRF，是一种欺骗受害者提交恶意请求的攻击。它继承了受害者的身份和特权，代表受害者执行非本意、恶意的操作。它强制终端用户在当前对其进行身份验证后的Web应用程序上执行非本意的操作。发生地点：Web应用程序上，不是系统也不是组件。 发生时间：在终端用户在当前对其进行身份验证后。 发生形式：“强制”执行用户非本意的操作，此
CSRF跨站请求伪造漏洞修复方案
weixin_42728957的博客
04-16 6843
CSRF（全称Cross-site request forgery）即跨站请求伪造，是指利用受害者尚未失效的身份认证信息（cookie、会话等），诱骗其点击恶意链接或包含攻击代码的页面，在受害者不知情的情况下以受害者的身份（身份认证所对应的信息）向服务器发送请求，从而完成非法操作（如转账、改密等）。由于发生CSRF攻击后，攻击者是强迫用户向服务器发送请求，所以会造成用户信息被迫修改，更严重者引发蠕...
CSRF 跨站请求伪造
m0_69043895的博客
04-19 994
CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（），但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比更具危险性。
渗透测试技术----常见web漏洞--跨站请求伪造攻击原理及防御
wwl012345的博客
08-18 1578
一、跨站请求伪造攻击介绍 1.跨站请求伪造攻击简介 跨站请求伪造(Cross-site request forgery)简称为CSRF，这是一种对网站的恶意利用。CSRF实际上就是攻击者通过各种方法伪装成目标用户的身份，欺骗服务器，进行一些非法操作，但是这在服务器看来却是合法的操作。 2.CSRF与XSS的区别 尽管CSRF听起来很像XSS，但是却又与XSS有本质的区别。最本质的区别就是XS...
CSRF跨站请求伪造漏洞修复
折腾java的博客
06-09 3077
跨站请求伪造（Cross-site request forgery，简称CSRF），是一种常见的Web安全漏洞，由于在Web请求中重要操作的所有参数可被猜测到，攻击者可通过一些技术手段欺骗用户的浏览器去访问一个用户曾经认证过的网站，遂使攻击者可冒用用户的身份，进行恶意操作。 经测试，服务器未校验Referer头，因此攻击者可以直接构造一个恶意的访问地址让用户在不知情的情况下访问从而实现CSRF恶意操作。增加拦截器，判断referer是否合法，合法则放行。......
web基础漏洞之CSRF（跨站请求伪造漏洞)
m0_62274649的博客
10-04 1273
一些自己的小总结，有待完善
CSRF（跨站请求伪造）攻击和预防
allway2的博客
09-05 734
但是，如果您遵循上述注意 HTTP 动词的规则，这对于 CSRF 保护来说不是必需的。幸运的是，只要您使用支持 CSRF 令牌并明确 HTTP 动词的体面、现代的应用程序平台，它们也很容易避免。当使用 cookie 进行会话管理的 Web 应用程序无法验证 HTTP POST 请求的来源时，通常会出现 CSRF（跨站点请求伪造）漏洞。防止这些攻击的常用方法是使用称为 CSRF 令牌的东西。您应该将令牌绑定到预身份验证会话（当用户进行身份验证并为用户提供新的会话 ID 时，您应该将其丢弃，但这是另一回事）。
【ASP.NET编程知识】浅谈ASP.NET MVC 防止跨站请求伪造(CSRF)攻击的实现方法.docx
05-21
浅谈 ASP.NET MVC 防止跨站请求伪造（CSRF）攻击的...本文档对 ASP.NET MVC 中防止跨站请求伪造（CSRF）攻击的实现方法进行了详细的探讨，并提供了一个示例来演示 CSRF 攻击的原理和危害，以及防止 CSRF 攻击的方法。
csrf-tester-gh-pages.zip
02-23
CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种常见的网络安全威胁，它利用了用户的浏览器自动发送请求的身份认证信息。在这个名为"csrf-tester-gh-pages.zip"的压缩包中，我们可以推测这是一个用于测试和...
跨站攻击(XSS+CSRF).docx
01-05
总结来说，XSS和CSRF是两种常见的Web安全威胁，理解和掌握这两种攻击的原理、实施方式以及防护措施是保障网络安全的重要一环。通过实际操作和理论学习，学生将深化对Web安全的理解，提高应对网络攻击的能力。
防止MVC应用程序受到跨站点请求伪造攻击
04-05
跨站请求伪造（Cross-Site Request Forgery，简称CSRF）是一种常见的网络安全威胁，它针对的是用户已经登录并保持会话状态的Web应用程序。在ASP.NET MVC框架中，开发人员需要采取措施来防止这种攻击，确保用户的操作...
XSS跨站脚本攻击漏洞修复方法
06-18
对cookies设置SameSite属性，限制第三方请求不能携带cookies，防止CSRF（跨站请求伪造）攻击。 6. **更新和维护**： 及时更新应用程序和服务器软件，修复已知的安全漏洞。 7. **教育用户**： 提高用户对XSS攻击...
Kubernetes面试整理-Helm是什么？
不务正业的猿
07-15 2825
通过 Helm，您可以轻松地打包、配置、部署和管理 Kubernetes 应用程序，从而简化了应用程序的生命周期管理。Helm 是 Kubernetes 的包管理工具，它使得在 Kubernetes 上部署和管理复杂的应用变得更加简单和高效。Chart 是 Helm 中的打包格式，包含一个应用程序的 Kubernetes 资源定义集合。通过 Helm，可以使用简单的命令来安装复杂的应用程序，而无需手动编写大量的 Kubernetes 配置文件。可以从 Helm 的官方文档获取最新的安装方法。
Nacos 面试题及答案整理，最新面试题
最新发布
Miss_SunHengYang的博客
07-19 451
适用于服务细分和微服务架构中的服务分类。随着服务实例的动态增减，Nacos能够实时更新服务信息，确保服务消费者能够及时发现新的服务实例。Nacos支持服务的注册与发现，允许服务实例在Nacos中注册，并被客户端发现和调用。Nacos能够检测到服务实例的故障，并自动切换到备份的服务实例，确保服务的持续可用性。Nacos能够解析服务间的依赖关系，并在服务发现时考虑这些依赖，确保依赖服务的可用性。实现区域感知的服务发现机制，优先发现和调用同一区域内的服务，以减少跨区域调用的延迟。
力扣第233题“数字1的个数”
10年数据\经营分析经验，现任大厂数据分析负责人
07-15 701
本文详细解读了力扣第233题“数字1的个数”，通过使用逐位分析的方法高效地解决了这一问题，并提供了详细的解释和模拟面试问答。希望读者通过本文的学习，能够在力扣刷题的过程中更加得心应手。
跨站请求伪造的修复方法
05-18
跨站请求伪造（CSRF）攻击是一种常见的网络攻击，攻击者通过伪造用户的请求来进行恶意操作。以下是一些常见的修复方法： 1.使用CSRF Token：在用户请求中添加一个随机生成的Token，并验证该Token是否与服务器端生成的Token一致。 2.检查Referer头：检查请求头中的Referer字段，验证请求是否来自于合法的域名。 3.限制HTTP请求方法：限制某些HTTP请求方法，例如只允许使用POST方法提交表单数据。 4.添加验证码：在敏感操作时，要求用户输入验证码以验证用户的身份。 5.HTTPOnly Cookie：设置HTTPOnly属性，防止攻击者通过脚本获取Cookie信息。 6.使用同源检测：使用SameSite属性，限制Cookie仅在同源请求中发送，避免被攻击者利用。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值