个人中心
文章发布
退出
作者热门文章
- 使用 Spring Initializr 创建 Spring Boot 应用程序
- 在Spring Boot中配置Cassandra
- 在 Spring Boot 上配置 Tomcat 连接池
- 将Camel消息路由到嵌入WildFly的Artemis上
26
4
本文分享自华为云社区《CSRF跨站请求伪造攻击及防御》，作者： HZDX。
CSRF（Cross-site request forgery）跨站请求伪造，通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。
CSRF（Cross-site request forgery）跨站请求伪造，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。
可以这样来理解：攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等。
HTTP header中包含一个Referer字段，这个字段用于指明http请求的来源地址。当用户进行正常请求时，此Referer字段应该与请求的地址位于同一个域名下（bank.com）。如果是通过CSRF攻击伪造的请求则此Referer应当包含恶意网址的地址（evil.com）。所以通过对Referer来源地址的校验可以识别出伪造的恶意请求。
这种办法简单易行，工作量低，仅需要在关键访问处增加一步校验。但这种办法也有其局限性，因其完全依赖浏览器发送正确的Referer字段。虽然http协议对此字段的内容有明确的规定，但并无法保证来访的浏览器的具体实现，亦无法保证浏览器没有安全漏洞影响到此字段。并且也存在攻击者攻击某些浏览器，篡改其Referer字段的可能。
由于CSRF攻击的本质在于攻击者欺骗用户去访问自己设置的请求，所以如果在请求敏感数据时，要求用户浏览器提供不是保存在cookie中并且攻击者无法伪造的数据作为校验条件，那么攻击者就无法伪造未校验的请求进行CSRF攻击。
服务器将其生成并附加在窗体中，其内容是一个伪随机数。当客户端通过表单提交请求时，这个伪随机数也一并提交上去以供校验。正常的访问时，客户端浏览器能够正确得到并传回这个伪随机数，而通过CSRF传来的欺骗性攻击中，攻击者无从获取页面信息得知这个伪随机数的值，服务端就会因为校验token的值为空或者错误，拒绝这个可疑请求。
这种方法也是使用 token 并进行验证，和上一种方法不同的是，这里并不是把 token 以参数的形式置于 HTTP 请求之中，而是把它放到 HTTP 头中自定义的属性里。
通过 XMLHttpRequest 这个类，可以一次性给所有该类请求加上 csrftoken 这个 HTTP 头属性，并把 token 值放入其中。这样解决了上种方法在请求中加入 token 的不便，同时，通过 XMLHttpRequest 请求的地址不会被记录到浏览器的地址栏，也不用担心 token 会透过 Referer 泄露到其他网站中去。
智能云网社区是华为专为开发者打造的“学习、开发、验证、交流”一站式支持与服务平台，该平台涵盖多领域知识。目前承载了云园区网络，云广域网络，数通网络开放可编程，超融合数据中心网络，数通网络设备开放社区共五个场景。为了响应广大开发者需求，还提供了开发者交流、API 体验中心、多媒体课件、SDK工具包、开发者工具以及远程实验室共六大工具，让开发者轻松开发。欢迎各位前来体验。
26
4
0
我对 FakeItEasy(或其他模拟对象，因为我相信它们非常相似)有疑问。以下是我的 puesdocode: public class Service { public void Check
我想使用鼠标/键盘伪造操作(或触摸)事件。当我尝试使用以下方法引发事件时: RoutedEventArgs e = new RoutedEventArgs(ManipulationStartedEve
出于某种原因，我的 SVN 存储库的本地副本停止将父目录识别为工作副本。我通常会通过再次 checkout 到另一个文件夹并用我更改的文件覆盖新的工作副本来解决此问题。然后我会从新文件夹中进行提交。
我正在尝试设置我的开发实例，以便我可以伪造一些我拥有的网址。我的网站有许多网址，根据您访问的网址，我的网站的行为会因域的不同而有所不同。 我编辑了我的 C:\WINDOWS\system32\driv
当用户登录并选中“记住我”框时，我会为它生成一个 key (md5 上非常随机的数字)并保存在它的 cookie 上。如果用户未登录，我的代码会检查“记住我的 key ”cookie，如果它与用户匹配
有没有办法强制 Oracle 也“看到”一个表和相关索引比它们实际更大？ 换句话说，有没有办法“伪造”数据库统计信息，因此基于成本的优化器会在几乎为空的数据库上做出决策，这更接近于在真实的大型生产数据
这是我使用 tsqlt 的第一天，所以你可能会看到一些含糊的陈述。 我正在尝试测试一个具有 Try Catch Block 的存储过程，但测试中的实际语句是插入和更新命令。 现在我想测试如果出现 Er
我从mockito开始，想知道如何假装添加观察者。我想编写一个测试来确保观察者计数在函数调用后增加。 示例测试代码: MyClassUnderTest instance = new MyClassUn
我是一名 C# 游戏开发人员，我有一个安全功能，我的服务器动态创建一个包含一些 key 的 DLL，并将这个 DLL 上传到 amazon s3，然后向人们提出挑战随机的。当客户收到此质询时，他们有
我正在尝试“伪造”一个 Canvas ，目的是将这个伪造的 Canvas 交给一个可能是任意的框架，以对所有直线、曲线和 moveTo 进行后处理。 为了解决这个问题，我尝试了这段代码，它确实有效，但
我的应用程序需要 SQL Server 2000 作为数据库存储。我真的不想使用 SQL Server 2000，但我可以改用 MySQL Server。 应用程序使用 ODBC 连接到 SQL Se
我有一个下拉菜单，需要一个带有左右边距的滚动条。我正在使用-webkit-scrollbar，但据我所知，它只支持沿滚动轴的边距，所以我一直在用容器内元素的右边距来近似水平边距，并在外部 div，如您
作为我学生小组业余项目的一部分，我正在创建微 Controller 有线网络的模拟，以测试我们编写的算法。每个 Controller 都连接到多个数据端口，每个端口都有一个输入和输出流。我通过给每个端
我已经在 Forge 中安装了自定义 SSL 证书。现在我的网站宕机了 -_-。 Site is not available connection refused 我已经重新启动了我的服务器，但没有任
我正在开发具有 ListView 和详细 View 的应用程序，并且我从 ListView 到详细 View 设置动画。在执行此操作时，我想在某个阶段隐藏状态栏(最好同时在后台显示 ListView
我想用它在 MS-Test 单元测试中伪造 System.Net.Mail.SmtpClient。为此，我添加了一个 System.dll 的 Fakes Assembmly。然后我创建一个 Shim
在我的 Playframework 2.4 项目中，我有这样的方法: public static Result resetValue(int client) { String received
这是我渲染场景的过程: 绑定(bind) MSAA x4 GBuffer(4 种颜色附件、位置、法线、颜色和无光照颜色(仅天空盒。我还有一个深度组件/纹理)。 绘制天空盒 绘制地理 将所有颜色和深度分
我不太确定 $_SESSION 在 PHP 中是如何工作的。我假设它是浏览器上的 cookie 与服务器上的唯一 key 匹配。是否可以伪造并绕过仅使用 session 来识别用户的登录。 如果 $_
大家好，我是沙漠尽头的狼。 本文首发于 Dotnet9 ，介绍使用 Lib.Harmony 库拦截第三方 .NET 库方法，达到不修改其源码并能实现修改方法逻辑、预期行为的效果，并
我是一名优秀的程序员,十分优秀！