CSRF和XSS攻击详解及区别

最新推荐文章于 2024-04-03 13:32:32 发布

壹个人的火锅

最新推荐文章于 2024-04-03 13:32:32 发布

阅读量1k

点赞数 31

文章标签： csrf xss 服务器

本文链接：https://blog.csdn.net/m0_63512120/article/details/136223831

版权

CSRF攻击

CSRF（Cross-Site Request Forgery）攻击是一种利用用户已登录的身份，欺骗用户在未经其同意的情况下对某个站点发起请求的攻击方式。攻击者利用用户在其他站点中的登录状态，通过伪造请求，使用户在不知情的情况下执行了恶意操作。

使用CSRF Token：在每个请求中添加一个随机生成的Token参数，并在服务器端进行验证。攻击者无法伪造该Token，因此可以有效地防止CSRF攻击。
检查Referer头：浏览器在发送请求时会自动添加Referer头，用于标识该请求是从哪个页面发起的。服务器可以检查Referer头，确定该请求是否来自合法的来源，从而防止CSRF攻击。
双重提交cookie：在用户登录时，在Cookie中添加一个随机生成的Token，并在每次提交请求时将该Token同时作为参数和Cookie一同提交。服务器端对比两者是否一致，即可确定该请求是否合法。
限制敏感操作：对于一些敏感操作（如修改密码、转账等），可以要求用户输入密码或进行其他身份验证方式，增加操作的安全性。
使用验证码：在一些关键操作上添加验证码，以确保请求的合法性。

XSS（Cross-Site Scripting）攻击是一种利用网页开发中的安全漏洞，向网页中插入恶意脚本代码，并使其在用户浏览器中执行的攻击方式。XSS攻击可以使攻击者在受害者的浏览器中执行恶意脚本，从而窃取用户信息、篡改页面内容、劫持会话等。

存储型XSS（Stored XSS）：
- 存储型XSS攻击是指攻击者将恶意脚本代码存储在目标网站的数据库中，通常是通过提交评论、发布内容等方式将 恶意脚本保存到服务器端。
- 当用户访问包含恶意脚本的页面时，服务器会将存储的恶意脚本返回给用户的浏览器，浏览器会执行该恶意脚本。
- 攻击者可以通过存储型XSS攻击实现窃取用户信息、劫持会话、篡改页面内容等恶意操作。
反射型XSS（Reflected XSS）：
- 反射型XSS攻击是指攻击者构造包含恶意脚本的链接，并诱使用户点击该链接，使恶意脚本被发送到目标网站的服务器端。
- 服务器端将恶意脚本反射给用户的浏览器，并在用户浏览器中执行该恶意脚本。
- 反射型XSS攻击通常需要用户主动点击恶意链接，因此攻击范围相对较小，但仍可能造成危害。
DOM型XSS（DOM-based XSS）：
- DOM型XSS攻击是指恶意脚本通过修改页面的DOM结构来执行攻击，而不经过服务器端。
- 攻击者在构造恶意URL时，包含能够修改DOM结构的恶意脚本，用户访问该URL后，浏览器执行恶意脚本，从而实施攻击。
- DOM型XSS攻击不涉及服务器端的传输，直接在客户端完成攻击，检测和防范起来更为困难。

输入验证和过滤：对用户输入的数据进行严格验证和过滤，只允许符合规定格式的数据通过，过滤掉潜在的恶意代码。
输出编码：在将用户输入数据输出到网页时，使用合适的编码方式，如HTML编码、JavaScript编码等，将特殊字符转义，避免恶意代码被执行。
CSP（内容安全策略）：通过在HTTP响应头中设置CSP，限制页面可以加载的资源来源，减少XSS攻击的风险。
HTTPOnly标记：在设置Cookie时，使用HTTPOnly标记，防止客户端脚本访问敏感的Cookie信息，减少XSS攻击对Cookie的影响。
X-XSS-Protection头：在HTTP响应头中添加X-XSS-Protection头，启用浏览器内置的XSS过滤器，增加XSS攻击的检测和防御能力。
安全标头设置：使用安全标头设置，如Strict-Transport-Security、X-Content-Type-Options等，增强网站的安全性，减少安全漏洞。
不信任数据源的处理：对来自不信任数据源（如第三方网站）的数据进行特殊处理和过滤，避免直接将其输出到网页中。
定期安全审计：定期进行安全审计和漏洞扫描，及时发现和修复潜在的XSS漏洞。

CSRF攻击需要受害者先进行登录网站获取cookie ； XSS攻击不需要用户登录。
CSRF是攻击者利用受害者在已登录状态访问包含恶意请求的网站，从而对目标网站进行发起恶意请求； XSS是攻击者通过在受害者访问的网页中注入恶意脚本以实现攻击，当用户加载到这些页面时，脚本便开始执行，从而实施攻击。
CSRF进行防御时要确保请求是合法用户发起的； XSS进行防御时要对用户输入和输出进行严格检测，防止恶意脚本注入。

关注