怎么渗透html网页,渗透测试HTML发布问题

如果你仍然在寻找解决这个问题的办法，你可以使用请求签名。我之前没有提及它的原因是因为我唯一一次看到请求签名，涉及到证书，而且大部分都是使用Web服务安全标准。另一次我推荐实现请求签名是为了一个移动应用程序 - 它在那里也比较容易实现，因为你可以使用设备上的证书来执行签名，并且服务器可以验证这个签名(本质上是公共的密钥加密机制)。

正如你在评论中提到的那样，它有多个方面 - 一个是防止XSRF，它基本上包括一个nonce来确保攻击者不能重放请求，或者制造可能损害已认证用户的请求。这个随机数必须来自服务器，因为任何你使用Javascript创建的东西，攻击者都可以创建它。这种随机数将确保您的请求是特定时间的，并且在稍后的时间点不能重播。

但是，当用户处于恶意网络并且攻击者正在对所有流量执行MitM攻击时，nonce不会阻止攻击。攻击者仍然可以修改请求，并且由于服务器之前从未看到过这种情况，它会接受该请求为有效的。为了防止这种情况发生，您需要采取相应的措施 - 其中一项，所有流量都应通过SSL进行，并且必须对所有请求进行签名，以防篡改。签名部分特别困难，特别是如果您必须确保攻击者无法执行相同的签名。我见过的例子涉及到webapp的证书级别认证，然后使用这些证书执行签名 - 这对您似乎正在开发的应用程序的要求可能过于严格。其他方法涉及使用用户知道的东西 - 可能是令牌，密码，秘密答案等 - 不能被攻击者复制，并使用该信息来签署请求。

Here是一个关于如何通过PHP来做到这一点的例子。不过，我不知道这个机制是否可以适合你的目的。 OAuth 可能是是另一种可能的方法，但由于我从来没有见过应用程序这样做，所以我不太确定。

对不起，我没有特定的方法或代码示例供您查看，但大多数实现仅从设计角度出发，而不是实际代码角度。