CSRF攻击时无法以Content-Type:Application/json来发送请求嘛?

小猫咪不想写代码

已于 2023-01-04 20:29:02 修改

阅读量453

点赞数 1

分类专栏：安全文章标签： csrf

于 2023-01-04 20:26:51 首次发布

本文链接：https://blog.csdn.net/weixin_42299862/article/details/128553883

版权

安全专栏收录该内容

39 篇文章

订阅专栏

文章探讨了CSRF攻击的原理，指出当接口只接受application/json时，攻击者难以通过普通恶意网页发起攻击，因为JSON请求通常受限于JavaScript的同源策略和CORS预检请求。然而，文中也提到了一种可能的绕过策略，即利用特定的技术手段规避这些限制。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

背景：
CSRF是被攻击者访问恶意网页后，恶意网页向存在漏洞的网站发送请求。
但恶意网页向漏洞的网站发送请求时，如果请求是post形式，只能发送content-type为application/x-www-form-urlencoded的请求，没法发送content-type为application/json的。

application/json的content-type只能通过js发送ajax请求来设置。
但js的ajax跨域又会限制application/json的，故需要在使用XMLHttpRequest时，按照CORS规范，自定义Header将调用一个预检请求。

如果业务系统的接口仅支持Application/json（比如我们将Content-Type改成text/plain或者application/x-www-form-urlencode时服务器会报错），我们就得出结论：无法进行CSRF攻击。

绕过方法：
https://blog.csdn.net/Lee_Natuo/article/details/83749809