CSRF 攻击

最新推荐文章于 2024-06-17 00:45:59 发布

前端小小王

最新推荐文章于 2024-06-17 00:45:59 发布

阅读量627

点赞数 10

文章标签： xss 前端 javascript 面试 csrf 安全网络

本文链接：https://blog.csdn.net/wanglf_clog/article/details/139088010

版权

CSRF（Cross-Site Request Forgery，跨站请求伪造）攻击，是一种常见的网络攻击方式，它利用用户在已登录网站的凭证（如 Cookie、Session 等）向第三方网站发送非授权的请求。这种攻击之所以有效，是因为浏览器会自动携带用户在 A 网站的认证信息去访问 B 网站，如果 B 网站没有做好防护措施，就会误以为该请求是用户主动发起的并予以执行，从而可能执行恶意操作，如修改用户数据、进行非法转账等。

使用安全的 HTTP 方法：对于修改数据的请求，使用 POST 而不是 GET。GET 请求的结果可以被缓存，并且可以被浏览器预加载，这会增加 CSRF 攻击的风险。
敏感操作增加二次确认：对于涉及重要操作的请求，例如转账、删除账户等，可以要求用户进行二次确认，以降低误操作的风险。
同源策略：确保网站的关键操作只能在同一个域名下执行。这样即使攻击者能够构造恶意请求，也无法在用户不知情的情况下执行它们。
限制敏感操作：对于涉及敏感操作（如更改密码、删除账户等）的请求，应该要求用户输入密码或进行其他形式的身份验证，以确保请求的合法性。
使用 CSRF 令牌：服务器在每个敏感操作的表单中嵌入一个随机生成的、一次性的 CSRF 令牌（Token）。提交表单时，此令牌也会一并提交，服务器验证提交的令牌与存储在会话中的令牌是否一致，确保请求的合法性。
验证 HTTP Referer 或 Origin 头部：虽然这个方法有局限性，但在某些情况下，检查请求的 Referer 或 Origin 头部可以作为一种辅助手段，确认请求是否来自可信赖的源。但是要注意，攻击者可能伪造这些头部，因此不能单独依赖此方法。

CSRF（Cross-Site Request Forgery）:

XSS（Cross-Site Scripting）:

总结来说，CSRF 侧重于利用用户的权限执行恶意操作，而 XSS 则侧重于通过注入脚本控制用户的浏览器环境。两者都需要网站开发者采取相应的安全措施来防范。

构造恶意链接：攻击者可以在恶意网站上创建一个包含恶意请求的链接，并诱使受害者点击该链接。当受害者登录到目标网站时，浏览器会自动发送包含受害者身份验证信息的请求，从而执行恶意操作。
钓鱼邮件：攻击者可以通过钓鱼邮件或社交工程技术诱使用户点击包含 CSRF 攻击的链接。这些邮件可能会伪装成来自可信任机构或朋友的邮件，以增加受害者的信任度。
跨站脚本（XSS）利用：如果目标网站存在 XSS 漏洞，攻击者可以利用该漏洞注入恶意脚本，并将其触发以执行 CSRF 攻击。这种攻击通常会利用受害者的会话来执行恶意操作。
社交工程：攻击者可以利用社交工程技术欺骗用户在目标网站上执行特定的操作，例如点击一个看似无害的按钮或链接，而实际上这些操作会执行恶意请求。
利用第三方应用程序漏洞：如果目标网站与第三方应用程序集成，并且存在漏洞，则攻击者可以通过利用这些漏洞来执行 CSRF 攻击。

关注