CSRF(Cross-site request forgery),跨站请求伪造,是攻击者欺骗用户浏览器去执行非用户本意的操作。
cookie分为“session cookie”也就是临时cookie,保存在浏览器的进程中,以及“Third-party cookie”,即本地cookie。有的浏览器禁止发送第三方cookie,但可以诱导用户打开指定页面,发送session cookie,使CSRF攻击成功。
P3P Header是W3C指定的一项关于隐私的标准,全称是The Platform for Privacy preferences,如果网站返回给浏览器的HTTP头中包含有P3P头,则在某种程度上来说,将允许浏览器发送第三方cookie
检测方法:
- 手工检测
- 半自动检测:CSRFtester、burpsuit scanner
- 全自动检测
CSRF防范:
- 添加验证机制,如验证码
- referer校验
- token校验
- 当前密码验证