CSRF通俗来讲就是跨站伪造请求攻击,英文Cross-Site Request Forgery,在近几年的
网站安全威胁排列中排前三,跨站攻击利用的是网站的用户在登陆的状态下,在用户不知不觉的
情况下执行恶意代码以及执行网站的权限操作,CSRF窃取不了用户的数据,只能执行用户能操
作的一些数据。比如:在用户不知道的情况下, 把账户里的金额,以及银行卡号,体现功能,都
转移到其他人账户里去。如果被攻击者是一个管理员的权限,那么就会对网站安全构成严重的
危害。
网站安全威胁排列中排前三,跨站攻击利用的是网站的用户在登陆的状态下,在用户不知不觉的
情况下执行恶意代码以及执行网站的权限操作,CSRF窃取不了用户的数据,只能执行用户能操
作的一些数据。比如:在用户不知道的情况下, 把账户里的金额,以及银行卡号,体现功能,都
转移到其他人账户里去。如果被攻击者是一个管理员的权限,那么就会对网站安全构成严重的
危害。
![](https://i-blog.csdnimg.cn/blog_migrate/82b13d0e49e5f369e7933a64f54ebf7f.png)
CSRF跨站漏洞
由于网站设计人员,对CSRF跨站漏洞不是太了解,误认为用户从浏览器发送过来的请求,当做
正常的用户请求,当受害者点击入侵者构造的恶意链接的时候就会执行恶意的代码,以及恶意的
操作,例如删除用户的银行卡。Sine安全公司是一家专注于:服务器安全、网站安全、网站安全
检测、网站漏洞修复,渗透测试,安全服务于一体的网络安全服务提供商。
正常的用户请求,当受害者点击入侵者构造的恶意链接的时候就会执行恶意的代码,以及恶意的
操作,例如删除用户的银行卡。Sine安全公司是一家专注于:服务器安全、网站安全、网站安全
检测、网站漏洞修复,渗透测试,安全服务于一体的网络安全服务提供商。
GET http://sinesafe.com/bank/delbank.php?id=66
当正常用户点击上面的连接的时候,并且该用户的登陆状态一直存在,用户就会不知不觉的删除
了自己账户里的银行卡,给用户造成没必要的损失,说实话,简单的用户身份验证以及过滤判断,
只能保证用户的请求是来自浏览器,却不能判断请求本身是用户自己操作删除的银行卡。
了自己账户里的银行卡,给用户造成没必要的损失,说实话,简单的用户身份验证以及过滤判断,
只能保证用户的请求是来自浏览器,却不能判断请求本身是用户自己操作删除的银行卡。
CSRF网站跨站漏洞修复办法
CSRF漏洞基本都是在网站代码的框架中去修复该漏洞,我们在对网站安全进行测试的同时,检查
到csrf漏洞的时候,我们要对CSRF框架安全修复的防护,进行详细的了解,一般安全测试的时候
我们要看程序代码里的增加,删除,修改,等功能代码里是否调用formtoken,token等的变量函数
有没有对refer请求链接,进行判断。如果有对来路的链接判断就可以防止CSRF攻击。
到csrf漏洞的时候,我们要对CSRF框架安全修复的防护,进行详细的了解,一般安全测试的时候
我们要看程序代码里的增加,删除,修改,等功能代码里是否调用formtoken,token等的变量函数
有没有对refer请求链接,进行判断。如果有对来路的链接判断就可以防止CSRF攻击。
还有一方面就是在测试token值的时候,有没有自定义随便重放的GET请求,如果没有自定义的
值,则替换请求来路的网址为空,重放请求是否可以返回200状态的数据,从而判断网站存不存
在csrf漏洞。Sine安全公司是一家专注于:服务器安全、网站安全、网站安全检测、网站漏洞修
复,渗透测试,安全服务于一体的网络安全服务提供商。
值,则替换请求来路的网址为空,重放请求是否可以返回200状态的数据,从而判断网站存不存
在csrf漏洞。Sine安全公司是一家专注于:服务器安全、网站安全、网站安全检测、网站漏洞修
复,渗透测试,安全服务于一体的网络安全服务提供商。
1.增删改的请求,全部用post的数据传输来执行。
2.formtoken的安全检查,其实也是token值的检测,如果token值重复,那么只能作为一次请求
有效。
有效。
3.对于一些私密,以及较为重要的操作,尽量使用二次安全验证,比如短信,以及动态口令,或者
是验证码的安全效验。
是验证码的安全效验。
4.get请求中的来路网址判断,对HTTP来的请求,判断请求的网址是多少,建立网址白名单机制,
如果是允许的来路网址即可执行操作,如果不是则拦截请求。
如果是允许的来路网址即可执行操作,如果不是则拦截请求。
5.token的随机值生成,每一次的用户请求,都会在请求中带有随机值的token值,
服务器那面会对用户传输的数据进行token验证以及安全判断,如果token值不正确则拦截用户的请求。