码迷,mamicode.com
首页 > 其他好文 > 详细

CSRF

时间:2019-09-18 15:53:34      阅读:86      评论:0      收藏:0      [点我收藏+]

标签:信息   概率   常用   csr   会话   http   ssi   伪造   概述   

CSRF

概述

cross-site request forgery

CSRF攻击场景中攻击者伪造一个请求,然后切片目标用户进行点击,用户一旦点击,攻击就完成了。

判断一个网站是否存在CSRF漏洞,就是判断其对关键信息的操作(增删改)是否容易伪造。

利用的场景被攻击者必须要本身处于登录的状态,因为攻击者只是容易伪造请求但并不能知道密码cookie一些东西。

如何确认

  1. 对目标网站增删改的地方进行标记,并观察其逻辑,判断请求是否可以伪造,如对于敏感信息的修改并没有使用安全的token验证,导致请求容易被伪造。
  2. 确认凭证的有效期(会提高CSRF被利用的概率),如虽然推出或者关闭了浏览器,但cookie仍然有效,或者session并没有及时国企,导致CSRF攻击成功率变高-攻击者不必处于登陆状态。

利用

GET型的只要被攻击者点击,并且处于登录状态就可以。

POST型和XSS post类型用法一样需要第三方站点做好表单。

Token

技术图片

每次关键动作请求后台都会生成Token,在session中保存,每次提交都会带上token在后端验证会话是连贯和实时的,保证请求不是伪造的。

验证token,每次刷新页面重置token

技术图片

防护

郑家token验证(常用的做法):

  1. 对关键操作增加token参数,token必须随机,每次都不一样。

安全的会话管理(避免会话被利用)

  1. 会话及时销毁,登录超时操作。

还可以限制一下referer

CSRF

标签:信息   概率   常用   csr   会话   http   ssi   伪造   概述   

原文地址:https://www.cnblogs.com/wan-xiang/p/11542660.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!