CSRF说明

标签：serve   session   原理   针对   解决方案   点击   业务   密码   bsp   

CSRF:

跨站请求伪造

与XSS区别： XSS：利用用户对站点的信任 CSRF：利用站点对已经经过身份认证客户端的信任

CSRF原理(在用户非自愿、不知情的情况下提交请求)： 当client已经与server建立一个正常session，黑客发来一个针对该server修改密码的链接诱使client点击，此时如果server无条件接收该修改密码的请求则视为存在CSRF漏洞(此修改密码行为并非用户主动意愿)

解决方案：为在执行该敏感操作时server提前发出挑战，询问client是否为主观意愿

CSRF属于业务逻辑漏洞

1、对关键操作缺少确认机制(修改密码时的验证码也算一种确认机制)

2、自动扫描程序无法发现此类漏洞

CSRF说明

标签：serve   session   原理   针对   解决方案   点击   业务   密码   bsp   

原文地址：https://www.cnblogs.com/baihualin/p/10954735.html