【Web安全从入门到放弃】03_跨站请求伪造(CSRF)漏洞

本文介绍了跨站请求伪造(CSRF)漏洞的概念,包括攻击成功的条件和与XSS的区别。详细讨论了如何判断一个web系统存在CSRF漏洞,并探讨了多种防止CSRF的措施,如使用Anti CSRF token、增加token验证和加强会话管理等。
摘要由CSDN通过智能技术生成

03_跨站请求伪造(CSRF)漏洞

【Web安全从入门到放弃】01_暴力破解漏洞
【Web安全从入门到放弃】02_跨站脚本漏洞

CSRF漏洞概述

Cross-site request forgery简称为"CSRF"
在CSRF的攻击场景中攻击者会伪造一个请求(这个请求一般是一个链接)
然后欺骗目标用户进行点击,用户一旦点击了这个请求,整个攻击也就完成了。

当目标用户点击之后,脚本就会以目标用户的身份发出一个请求

所以CSRF攻击也被称为为" one click"攻击。

为什么CSRF会攻击成功?

条件1 : xxx购物网站没有对个人信息修改的请求进行防CSRF处理,导致该请求容易被伪造。

因此,我们判断一个网站是否存在CSRF漏洞,其实就是判断其对关键信息(比如密码等敏感信息)的操作(增删改)是否容易被伪造。
条件2 : lucy在登录了后台的情况下, 点击了小黑发送的“埋伏"链接。
如果lucy不在登录状态下,或者lucy更本就没有点击这个链接,则攻击不会成功。

CSRF和XSS的区别:

如果小黑事先在xx网的首页如果发现了一个XSS漏洞,则小黑可能会这样做:
1,欺骗lucy访问埋伏了XSS脚本(盗取cookie的脚本)的页面;
2,lucy中招,小黑盗取到到lucy的cookie ;
3,小黑顺利登录到lucy的后台,小黑自己修改lucy的相关信息;

所以跟上面比-下,就可以看出CSRF与XSS的区别:
CSRF是借用户的权限完成攻击,攻击者并没有拿到用户的权限,而XSS是直接盗取到了用户的权限,然后实施破坏。

如何确认一个web系统存在CSRF漏洞

  1. 对目标网站增删改的地方进行标记,并观察其逻辑,判断请求是否可以被伪造
    —比如修改管理员账号时,并不需要验证旧密码,导致请求容易被伪造;
    — 比如对于敏感信息的修改并没有 使用安全的token验证,导致请求容易被伪造 ;
  2. 确认凭证的有效期(这个问题会提高CSRF被利用的概率)
    —虽然退出或者关闭了浏览器,但cookie仍然有效,或者session并没有及时过期,导致CSRF攻击变的简单

Anti CSRF token

Token是如何防止CSRF的?

CSRF的主要问题是敏感操作的链接容易被伪造,那么如何让这个链接不容易被伪造?
每次请求,都增加一个随机码(需要够随机,不容易伪造) ,后台每次对这个随机码进行验证!

在这里插入图片描述

token生成代码示例:

在这里插入图片描述

常见CSRF防范措施

增加token验证(常用的做法) :

1,对关键操作增加token参数, token值必须随机,每次都不一样;

关于安全的会话管理(避免会话被利用) :

1 ,不要在客户端端保存敏感信息(比如身份认证信息) ;
2 ,测试直接关闭,退出时,的会话过期机制;
3,设置会话过期机制,比如15分钟内无操作,则自动登录超时;

访问控制安全管理:

1,敏感信息的修改时需要对身份进行二次认证,比如修改账号时,需要判断旧密码;
2 ,敏感信息的修改使用post ,而不是get ;
3 ,通过http头部中的referer来限制原页面。

增加验证码:

一般用在登录(防暴力破解) , 也可以用在其他重要信息操作的表单中(需要考虑可用性)

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

AnQ_xiao

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值