CSRF跨站点请求伪造原理及防御

傷城~ 2022-05-26 00:37 259阅读 0赞

# **一、CSRF攻击原理** #

CSRF攻击原理比较简单，如图1所示。其中Web A为存在CSRF漏洞的网站，Web B为攻击者构建的恶意网站，User C为Web A网站的合法用户。

![WEBRESOURCE2406aca05860458e71dc4a1b55c876e2][]

图1 CSRF攻击原理

1. 用户C打开浏览器，访问受信任网站A，输入用户名和密码请求登录网站A;

2.在用户信息通过验证后，网站A产生Cookie信息并返回给浏览器，此时用户登录网站A成功，可以正常发送请求到网站A;

3. 用户未退出网站A之前，在同一浏览器中，打开一个TAB页访问网站B;

4. 网站B接收到用户请求后，返回一些攻击性代码，并发出一个请求要求访问第三方站点A;

5. 浏览器在接收到这些攻击性代码后，根据网站B的请求，在用户不知情的情况下携带Cookie信息，向网站A发出请求。网站A并不知道该请求其实是由B发起的，所以会根据用户C的Cookie信息以C的权限处理该请求，导致来自网站B的恶意代码被执行。

总的来说，它就是利用cookie，来盗取用户权限，从此进行操作。

cookie有session和local两种。前者是临时的，会话关闭之后就没有了，后者是保存在本地的，当缓存过期之后才消失。

# 二、CSRF防御 #

CSRF为什么能够攻击成功呢？其本质原因是重要操作的所有参数都是可以被攻击者猜测到的。

攻击者只有预测出URL的所有参数与参数值，才能成功地构造一个伪造的请求，反之，攻击者将无法攻击成功。出于这个原因，可以想到一个解决方案：把参数加密，或者使用一些随机数，从而让攻击者无法猜测到参数值。

1.验证码。由于CSRF的攻击点在于浏览器分不清是用户发送的数据还是攻击者发送的数据，所以每次提交重要信息都要求输入验证码，这样可以保证信息是安全的。

2.服务器随机生成一个token发送，这样在请求中的cookie中要是有匹配的token，就认为是安全的请求，否则就可能有安全问题。但是token要建立在没有XSS漏洞的基础上，如果有XSS漏洞，那么攻击者通过获得页面，同样可以从cookie中获得token然后进行模拟操作。

[WEBRESOURCE2406aca05860458e71dc4a1b55c876e2]: https://note.youdao.com/yws/res/3102/WEBRESOURCE2406aca05860458e71dc4a1b55c876e2

发表评论取消回复

表情：

评论列表（有 0 条评论，259人围观）

还没有评论，来说两句吧...

相关阅读

相关 CSRF-跨站点请求伪造

CSRF 概念 CSRF, 全写是Cross-Site Request Forgery（跨站请求伪造）。指的是攻击者通过一些技术手段欺骗用户的浏览器去访问一个自己曾经认证

系统管理员/ 2024年04月01日 11:40/ 0 赞/ 139 阅读

相关跨站请求伪造（CSRF）防御编程

跨站请求伪造（Cross-Site Request Forgery，CSRF）是一种常见的网络攻击方式，攻击者利用用户身份在用户不知情的情况下发送恶意请求，从而执行非授权的操作

男娘i/ 2023年10月16日 10:22/ 0 赞/ 132 阅读

相关跨站点请求伪造 - SpringBoot配置CSRF过滤器

1. 跨站点请求伪造风险：可能会窃取或操纵客户会话和 cookie，它们可能用于模仿合法用户，从而使黑客能够以该用户身份查看或变更用户记录以及执行事务。原因：应用

本是古典何须时尚/ 2023年10月05日 10:24/ 0 赞/ 58 阅读

相关 CSRF（跨站请求伪造）攻击与防御

文章目录简介攻击流程（简述）防御CSRF 简介 CSRF跨站点请求伪造(Cross—Site Request For

布满荆棘的人生/ 2022年12月01日 14:16/ 0 赞/ 309 阅读

相关网络安全-跨站请求伪造（CSRF）的原理、攻击及防御

目录简介原理举例漏洞发现链接及请求伪造 CSRF攻击不同浏览器未登录状态登录状态代码查看工具防御用户程序员 -----

逃离我推掉我的手/ 2022年11月25日 10:19/ 0 赞/ 396 阅读

相关密码学系列之:csrf跨站点请求伪造

文章目录简介 CSRF的特点 CSRF的历史 CSRF攻击的限制 CSRF攻击的防范 STP技术 Cookie-

傷城~/ 2022年10月23日 01:51/ 0 赞/ 220 阅读

相关 CSRF跨站点请求伪造原理及防御

一、CSRF攻击原理 CSRF攻击原理比较简单，如图1所示。其中Web A为存在CSRF漏洞的网站，Web B为攻击者构建的恶意网站，User C为Web A网站的合法

傷城~/ 2022年05月26日 00:37/ 0 赞/ 260 阅读

相关 CSRF跨站请求伪造

CSRF漏洞详细说明通常情况下，有三种方法被广泛用来防御CSRF攻击：验证token，验证HTTP请求的Referer，还有验证XMLHttpRequests里的自定义

今天药忘吃喽~/ 2021年11月26日 07:31/ 0 赞/ 465 阅读

相关 csrf(跨站请求伪造)

跨站请求伪造如何体现出功能? 每个用户的form表单都会生成一个字符串,当然(这个后端是肯定知道这个字符串是什么,因为他们公用一套加密方案).假设现在有一个钓鱼网站想模仿

女爷i/ 2021年09月29日 06:26/ 0 赞/ 512 阅读

相关 CSRF跨站点请求伪造(Cross—Site Request Forgery)

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ub

ゞ浴缸里的玫瑰/ 2021年07月26日 00:40/ 0 赞/ 428 阅读