php csrf jsonp,详解JSON和JSONP劫持检测代码以及解决方法

json劫持

json劫持攻击又为”JSON Hijacking”，攻击过程有点类似于csrf，只不过csrf只管发送http请求，但是json-hijack的目的是获取敏感数据。

一些web应用会把一些敏感数据以json的形式返回到前端，如果仅仅通过cookie来判断请求是否合法，那么就可以利用类似csrf的手段，向目标服务器发送请求，以获得敏感数据。

比如下面的链接在已登录的情况下会返回json格式的用户信息：

攻击者可以在自己的虚假页面中，加入如下标签：

1

"

>

如果当前浏览器已经登录了，并且cookie未过期，然后访问了攻击者的虚假页面，那么该页面就可以拿到json形式的用户敏感信息，因为script标签会自动解析json数据，生成对应的js对象。然后再通过

1

Object.prototype.__defineSetter__

这个函数来触发自己的恶意代码。

IIS7网站监控可以及时防控网站风险，快速准确监控网站是否遭到各种劫持攻击，网站在全国是否能正常打开(查看域名是否被墙)，精准的DNS污染检测，具备网站打开速度检测功能，第一时间知道网站是否被黑、被入侵、被改标题、被挂黑链。精益求精的产品，缺陷为零数据提供！

它可以做到以下功能：

1、

检测网站是否被黑

2、检测网站是否被劫持

3、检测域名是否被墙

4、检测DNS是否被污染

5、网站真实的完全打开时间(独家)

6、拥有独立监控后台，24小时定时监控域名

官方地址：

官方图：

但是这个函数在当前的新版本chrome和firefox中都已经失效了。

jsonp劫持

jsonp是一个非官方的协议，利用script元素的开放策略，网页可以得到从其他来源动态产生的json数据，因此可以用来实现跨域。(关于JSONP可以参考我的博文：

)

web程序如果通过这种方式跨域之后，攻击者完全可以在自己的虚假页面中发起恶意的jsonp请求，这就引来了安全问题。比如：

1

2

3

4

5

6

function

useUserInfo(v){

alert(v.username);

}

"

>

如果服务器端的userinfo接口支持jsonp，那就会使虚假页面成功执行useUserInfo函数，从而导致安全问题。

解决方法

其实json劫持和jsonp劫持属于CSRF( Cross-site request forgery 跨站请求伪造)的攻击范畴，所以解决的方法和解决csrf的方法一样。

1、验证 HTTP Referer 头信息；

2、在请求中添加 csrfToken 并在后端进行验证；

关于CSRF攻击可以参考我的博文：

PS：JSONP劫持漏洞实例

getUser.php

1

2

3

4

5

6

7

8

header(

'Content-type: application/json'

);

$jsoncallback

= htmlspecialchars(

$_REQUEST

[

'jsoncallback'

]);

//获取回调函数名

//json数据

//$json_data = '["id","user"]';

$json_data

=

'({"id":"1","name":"Aaron"})'

;

echo

$jsoncallback

.

"("

.

$json_data

.

")"

;

//输出jsonp格式的数据

?>

Payload利用：

客户端实现 callbackFunction 函数

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

<

html

>

<

head

>

<

meta

charset

=

"utf-8"

>

<

title

>JSONP劫持测试

title

>

head

>

<

body

>

<

script

type

=

"text/javascript"

>

function callbackFunction(result)

{

alert(result.name);

}

script

>

<

script

type

=

"text/javascript"

src

=

"

"

>

script

>

body

>

html

>

jQuery 使用 JSONP

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

<

html

>

<

head

>

<

meta

charset

=

"utf-8"

>

<

title

>JSONP劫持测试

title

>

<

script

src

=

"

"

>

script

>

head

>

<

body

>

<

div

id

=

"divCustomers"

>

div

>

<

script

type

=

"text/javascript"

>

$.getJSON("

", function(getUsers){

alert(getUsers.name);

});

script

>

body

>

html

>