风炫安全web安全学习第二十九节课 CSRF防御措施

最新推荐文章于 2024-07-08 22:24:56 发布
最新推荐文章于 2024-07-08 22:24:56 发布
阅读量78 收藏
点赞数
分类专栏： 网络安全 渗透测试 Web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/hyj123480/article/details/112251938
版权

风炫安全web安全学习第二十九节课 CSRF防御措施

CSRF防御措施

  • 增加token验证

    对关键操作增加token验证，token值必须随机，每次都不一样

  • 关于安全的会话管理（SESSION）

    1. 不要在客户端保存敏感信息
    2. 关闭浏览器直接销毁SESSION
    3. 设置会话过期操作，比如超过15分钟没有操作，直接销毁SESSION

  • 访问控制的安全管理

    1. 敏感信息修改的时候需要二次验证，比如修改密码需要验证旧密码。
    2. 敏感信息修改使用POST，而不是GET
    3. 通过HTTP头部的REFERER来限制原来页面

  • 增加验证码

参考：
http://blog.evalshell.com/2020/12/20/风炫安全web安全学习第二十九节课-csrf防御措施/

风炫安全
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Web安全期末复习
kaisaooo的博客
07-02 5852
目录前言知识点Web应用开发基础Web信息收集Web漏洞扫描SQL注入文件上传攻击跨站脚本攻击（XSS）跨站请求伪造命令执行漏洞Web Server配置安全认证和授权日志系统构建及日志分析实战与综合简答题复习要点ASP.NET的安全控件web应用系统的数据加密数据库安全通信身份验证日志分析安全配置一套习题 前言 本文用来记录Web安全的复习资料，大部分内容都是从老师ppt的复习范围中节选的，可能不太全，经过考试的心得：有时间的可以多看看，考的比较杂啥都有，但是SQL注入、XSS、文件上传漏洞是重中之重。有
【愚公系列】2024年02月 《网络安全应急管理与技术实践》 012-网络安全应急技术与实践（Web层-SQL注入）
热门推荐
时光隧道
02-09 5万+
Web层攻击分析与应急响应演练是指对Web应用程序进行攻击分析，发现潜在的漏洞和安全威胁，并在发生安全事件时能够迅速做出应急响应措施的过程。进行Web层攻击分析是为了了解Web应用程序存在的弱点和漏洞，从而提前对其进行修复和加固。攻击分析可以包括对Web应用程序进行安全扫描、漏洞评估和渗透测试等活动，通过模拟真实攻击场景，发现可能被黑客利用的漏洞，如SQL注入、跨站点脚本攻击（XSS）、跨站点请求伪造（CSRF）等。攻击分析的目的是为了及早发现和修复潜在的安全问题，确保Web应用程序的安全性。
风炫安全Web安全入门第一期课程总结
风炫的博客
02-13 196
风炫安全Web安全入门第一期课程总结 我们第一期的Web安全入门学习，已经基本完成了，这节课我们来最后做一下总结。 这套Web安全入门学习是我从20年10月份开始，持续分享的一套课程，也是我第一次分享连续的课程，按照caoz的名言“输出倒逼输入”，可以看到我还有是很多的缺点，特别是说话比较快，这个缺点我现在会慢慢的克服，不过总的来说到今天也算是兑现了承诺，坚持下来了，做了一个完结，加上这节课总共课程分为50节课。 现在我把整个课程链接放到这里，提供给大家，很多人并没有看过之前的全部视频，那么今天我就这里集合
十二个常见的Web安全漏洞总结及防范措施
chenlijian的博客
03-22 1万+
PCI DSS数据安全测评旨在促进并增强持卡人账户数据安全，为保护帐户数据的技术和操作要求提供了一个基准，便于统一的数据安全措施在全球范围内的广泛应用。PCI DSS 适用于参与支付卡处理的所有实体——包括商户、处理商、收单机构、发卡机构和服务提供商。PCI DSS 还适用于存储、处理或传输持卡人数据 (CHD) 和/或敏感验证数据 (SAD) 的所有其他实体。
百万人都在求的网络安全学习路线，渗透漏洞防御总结（附图）
weixin_42340783的博客
04-23 1058
不折腾的网络安全，和咸鱼有什么区别所谓 源，可以指 URL。简单 来看某个 URL 组成；其中，如果 URL 上未标明端口，那么 http 默认是 80 端口，https 默认是 443 端口。而所谓的同源，是指 协议、域名、端口 一致的情况下，才属于同源。浏览器默认两个相同的源之间是可以相互访问资源和操作 DOM 的。两个不同的源之间若想要相互访问资源或者操作 DOM，那么会有一套基础的安全策略的制约，我们把这称为同源策略。XSS（Cross Site Script）跨站脚本攻击。
确保WEB应用安全：深入分析与有效防范
JAZJD的博客
05-05 895
一文读懂Web安全
网络安全系统性学习路线「全文字详细介绍」
qingkahui24689的博客
06-04 736
网络安全系统性学习路线「全文字详细介绍」，总共分为65节，这是网络安全的学习路线和简单介绍，根据这个路线学习，你也将会成为一名网络安全大师！！！
2024年网络安全学习指南！详尽路线图，从零基础到黑客高手的进阶之路！
最新发布
baimao__Ch的博客
07-08 615
网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。
Web安全研究（八）
至臻求学，胸怀云月
05-05 979
S&P 2021石溪大学攻击者依赖于恶意的bot发现易受攻击的网站，并入侵服务器泄漏用户数据。因此了解恶意的bot相当重要。作者设计了Aristaeus，用于部署大量蜜罐网站的系统，专门吸引和记录僵尸流量而存在的网站。每月都收到超过37k的请求数据，且超过一般都是请求试图暴力破解凭证，进行指纹识别，以及利用大量不同的漏洞。比较tls与ua头发现86.2%的bot都声称自己是chrome和firefox，但其实基于简单的http和命令行工具。
5分钟科普CSRF攻击与防御，Web安全的第一防线
01-27
XSS（Cross-site scripting）是另一种常见的Web安全问题，与CSRF不同，XSS主要涉及注入恶意脚本到用户浏览器，从而影响用户而不是服务器。XSS攻击通常发生在没有正确过滤用户输入的场景，导致用户在浏览网页时执行...
Web应用安全：CSRF防范对策.pptx
06-19
在通常情况下，访问一个安全受限页面的请求来自于同一个网站，而如果黑客要对其实施 CSRF攻击，他一般只能在他自己的网站构造请求。因此，可以通过验证Referer值来防御CSRF 攻击。 CSRF防范对策 2、CSRF的主要防范...
Web应用安全：CSRF安全隐患产生原因.pptx
06-18
CSRF安全隐患产生原因 CSRF安全隐患产生原因 1、CSRF攻击的条件 每种攻击都有其前提条件，如果用户不具备发动攻击的前提条件，攻击就不会发生，反过来说，如果具备被攻击的前提条件，就会有被攻击的安全隐患，我们先...
Web应用安全：CSRF简介.pptx
06-18
CSRF攻击利用网站对于用户网页浏览器的信任，挟持用户当前已登陆的Web应用程序，去执行并非用户本意的操作。 CSRF简介 2、攻击原理 你可以这样来理解：攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说...
溯源反制思路整合
风炫的博客
07-27 2302
溯源反制思路整合 文章目录溯源反制思路整合0x01反制的整体思路0x02 反制具体思路0x0201 反制主机0x0202 反制后门附件0x0203 反制攻击工具0x03 拿下傀儡机之后如何进行源IP的查找0x0301 日志分析01 Web日志分析02 系统日志分析0x0302 进程分析WindowsLinux0x0303 流量分析通用Windowslinux0x0304 服务查询WindowsLInux0x0305 其他技巧通用查询在线登陆者0x04 溯源相关思路根据IP进行溯源根据域名进行溯源根据ID溯源
cobalt strike 插件开发一
风炫的博客
03-29 1639
关注风炫安全，分享最新网络安全知识。 0x01 agscript简介 agscript为Aggressor Script的简写。 agscript是CobaltStrike 3.0之后版本中内置的脚本语言，利用Aggresor编写脚本可轻松地武装您的CobaltStrike客户端。 agscript是一种简单脚本语言，主要用于红队编写针对肉鸡的攻击脚本。 它有两个作用， 一是可以用来对自己的肉鸡做持久性控制。 二是可以用来扩展或修改Cobalt Strike客户端以满...
cobalt strike使用跳板进行内网渗透
风炫的博客
03-21 1441
0x01 什么是 Pivoting Pivoting ，在本手册中，指的是「将一个受害机器转为其他攻击和工具的跳板」。Cobalt Strike 的Beacon 提供了多种 pivoting 选项。前提是 Beacon 处于交互模式。交互模式意味着一个 Beacon 每 秒内多次连接到团队服务器。使用 sleep 0 命令来使你的 Beacon 进入交互模式。 0x02 开启SOCKS 代理 通过 [beacon] → Pivoting → SOCKS Server 来在你的团队服务器上设..
深入浅出内存马（一）
风炫的博客
07-12 1301
深入浅出内存马（一） 0x01 简述 0x0101 Webshell技术历程 在Web安全领域，Webshell一直是一个非常重要且热门的话题。在目前传统安全领域，Webshell根据功能的不同分为三种类型，分别是：一句话木马，小马，大马。而根据现在防火墙技术的更新迭代，随后出现了加密的木马技术，比如：加密一句话。而我们今天要说的是一种新的无文件的Webshell类型：内存马。 0x0102 为什么会使用内存马？ 传统Webshell连接方式，都是先通过某种漏洞将恶意的脚本木马文件上传，然后通过中国菜刀，或
风炫安全WEB安全学习第四十九节课 靶场的搭建与实战
风炫的博客
02-09 1066
靶场实战 自《网络安全法》实施以后，在互联网上未经授权的渗透测试是违法行为。缺少了实战的战场，我们现在一般用靶场来进行实战的渗透测试学习，因为这样不会影响别人网站服务的正常运行，不会影响到别人的业务。 我在这里推荐几个靶场，然后可以对靶场里面的漏洞进行针对化学习并实战。 线上靶场推荐 https://hack.zkaq.cn/ 封神台，掌控安全的线上靶场 https://www.ichunqiu.com/ I春秋，很早就出来的一个综合的靶场。 https://redtiger.labs.overthewir
网络安全web方向学习路线
05-07
学习网络安全Web方向需要掌握的知识点比较多，以下是一个基础的学习路线： 1. 掌握Web开发基础知识，例如HTML、CSS、JavaScript、HTTP协议等； 2. 熟悉常见Web漏洞，如SQL注入、XSS跨站脚本攻击、CSRF跨站请求伪造、文件包含等； 3. 学习使用工具进行渗透测试，例如Burp Suite、sqlmap、nmap等； 4. 掌握Web应用程序的安全编码实践，例如输入验证、输出编码、会话管理等； 5. 熟悉常用的Web安全框架和安全机制，例如OAuth2.0、OpenID Connect等； 6. 学习安全审计和日志分析技术，如SIEM系统、ELK技术栈等； 7. 实践Web漏洞利用和渗透测试，例如搭建漏洞靶场进行实践、参加相关CTF比赛等。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值