带你了解跨站请求伪造（CSRF），具体代码实现

最新推荐文章于 2024-04-19 14:25:27 发布

fermin123567

最新推荐文章于 2024-04-19 14:25:27 发布

阅读量1.3k

点赞数

文章标签： csrf http https

本文链接：https://blog.csdn.net/u012766794/article/details/123559429

版权

假如现在有网站A(淘宝)和网站B（黑客网站）,某一个晚上你打开淘宝网站正在购物。。突然你感觉很无聊，你百度找啊找，找了一个小黄网，其实这是钓鱼网站。此时的情况是你同时打开了淘宝网站和小黄网网站，然后问题来了这个小黄网网站有没有可能对你的淘宝网上上面的一些数据进行操作呢？下面请看具体的代码模拟。

1.第一步用户登录网站A

对应的java后台代码：

@Controller
public class LoginController {
        @RequestMapping("/login")
        public String login(HttpServletRequest request,String username, String password){
            if("admin".equals(username)&&"admin".equals(password))
            {
                request.getSession().setAttribute("currentUser","libing");
                request.setAttribute("message","login success");
            }
            return "index";  //视图重定向hello.jsp
        }
    @RequestMapping("/delete")
    @ResponseBody
    public String delete(HttpServletRequest request){
        String currentUser=(String)request.getSession().getAttribute("currentUser");
        if("libing".equals(currentUser))
        {
           System.out.println("执行了删除操作");
        }
        return "delete data";
    }

}

2.用户访问网站B，用户在网站B上面删除A数据

前端页面代码

<%@ page language="java" contentType="text/html; charset=UTF-8"
         pageEncoding="UTF-8"%>
<html>
<script src="/static/jquery.min.js"></script>
<body>
<h>B website</h>
<form action="http://127.0.0.1:8080/delete">
    <input type="submit" value="delete webSite A Data">
</form>
</body>
</html>

点击删除数据：