白话：CRSF攻击

最新推荐文章于 2025-09-26 16:25:51 发布
原创 最新推荐文章于 2025-09-26 16:25:51 发布 · 2.3k 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#web安全

本文介绍了CRSF（跨站请求伪造）攻击的基本概念，通过示例展示了攻击过程。防止CRSF攻击的方法包括设置cookie为HttpOnly、检测Referer头信息以及使用token验证。这些措施能有效提升网站的安全性。

今天，来分享一下CRSF攻击基本知识

CRSF：cross site request forgery 跨站请求伪造

下面是CRSF攻击的示意图：
这里写图片描述
上图可以简单总结为三步：

  1. 用户登陆A站，并保留登陆信息
  2. 用户访问B站， B站携带A站登陆信息恶意请求A站
  3. A站无法识别请求方，当作合法请求处理，从而遭受攻击

简单示例：
某个网站存在以下恶意信息

<img src="http://www.xxx.com/blogadmin.php?type=delete&id=3">

乍一看，可能大家感觉这不就是一个简单的html图片标签吗？
但是仔细看可以发现，这根本就不是一个对图片的请求连接，当你登陆到此网站后，网站会主动发起：

http://www.xxx
最低0.47元/天 解锁文章
Collabtive系统CSRF攻击实验
qq_29687403的博客
08-27 1892
本次实验的目的是了解和体验跨站请求伪造(CSRF或XSRF)攻击。CSRF攻击涉及用户受害者,受信任的网站,恶意网站。受害者与受信任的站点和用户拥有一个活跃的会话同时访问恶意网站。恶意网站注入一个HTTP请求为受信任的站点到受害者用户会话牺牲其完整性。
精选资源
betaflight-crsf-tx-scripts:脚本集，通过CRSF从TX配置Betaflight
05-09
betaflight-crsf-tx-scripts 脚本集，用于通过CRSF从TX配置Betaflight。 支持的收音机 FrSky Taranis QX7，QX7S，X9D，X9D + 安装 升级到Betaflight 3.4（内部版本792或更高版本）。 将crsfdp.lua文件复制到crsfdp...
什么是CSRF？CSRF漏洞原理攻击与防御（非常详细）从零基础入门到精通，收藏这一篇就够了！
最新发布
ewii12567的博客
09-26 1394
CSRF (Cross-site request forgery，跨站请求伪造)也被称为One Click Attack或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本(XSS)，但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装成受信任用户请求受信任的网站。简单的说，是攻击者通过一些技术手段欺骗用户的浏览器去访问一个自己以前认证过的站点并运行一些操作（如发邮件，发消息，甚至财产操作（如转账和购买商品））。
什么是 CSRF 攻击
点滴
03-28 3万+
CSRF 英文全称是 Cross-site request forgery，所以又称为“跨站请求伪造”，是指黑客引诱用户打开黑客的网站，在黑客的网站中，利用用户的登录状态发起的跨站请求。简单来讲，CSRF 攻击就是黑客利用了用户的登录状态，并通过第三方的站点来做一些坏事 通常当用户打开了黑客的页面后，黑客有三种方式去实施 CSRF 攻击。 下面我们以极客时间官网为例子，来分析这三种攻击方式都是怎么实施的。这里假设极客时间具有转账功能，可以通过 POST 或 Get 来实现转账，转账接口如下所示： 有了上面的
crsf攻击
qq_18746961的博客
04-06 4236
背景 项目被漏洞扫描软件扫出来crsf 攻击，当时也没有认真看，今天突然想起来了，就有了一些疑问。为什么加crsf-token就可以解决该问题？ 概述 CSRF（Cross Site Request Forgery, 跨站域请求伪造）是一种网络的攻击方式，它在 2007 年曾被列为互联网 20 大安全隐患之一。其他安全隐患，比如 SQL 脚本注入，跨站域脚本攻击等在近年来已经逐渐为众人熟知，很多网站也都针对他们进行了防御。然而，对于大多数人来说，CSRF 却依然是一个陌生的概念。即便是大名鼎鼎的 Gmail
CRSF攻击防御策略：彻底破解CRSF，实现全方位防护
![CRSF 数据包格式]...跨站请求伪造（Cross-Site Request Forgery，CRSF）攻击是一种常见的Web安全威胁，它允许攻击者诱使用户在已认证的状态下，通过恶意网站发起对其他信任网站的请求
CRSF攻击案例研究：深入剖析CRSF，避免成为下一个受害者
[CRSF攻击案例研究：深入剖析CRSF，避免成为下一个受害者](https://img-blog.csdnimg.cn/direct/439f537e203d4acfb076f8c09ce0eaf0.png) 参考资源链接：[CRSF协议：低延迟高更新率的RC信号与双向通信技术]...
CRSF攻击防护秘籍：构建安全网络环境的7步骤
[CRSF攻击防护秘籍：构建安全网络环境的7步骤](https://blog.securelayer7.net/wp-content/uploads/2016/11/MicrosoftTeams-image-28.png) 参考资源链接：[CRSF数据协议详解：遥控器与ELRS通信的核心技术]...
CSRF攻击
我欲乘风破浪
05-24 587
目录 什么是CSRF攻击 自动发起GET请求 自动发起POST请求 引诱用户点击链接 与XSS区别 防范CSRF攻击 Cookie的SameSite属性 验证请求的来源站点 CSRF Token 什么是CSRF攻击 CSRF：Cross-site request forgery，“跨站请求伪造”，黑客引诱用户打开黑客的网站，在黑客的网站用，利用用户的登录状态发起的跨站请求。简单来讲，CSRF攻击就是黑客利用了用户的登录状态，并通过第三方的站点来做一些坏事 自动发起GET请求 .
跨站请求伪造-CSRF防护方法
hjjhce的博客
08-18 955
跨站请求伪造-CSRF防护方法                               CSRF（Cross-site request forgery跨站请求伪造，也被称成为“one click attack”或者session riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。 1 CSRF攻击原理 CSRF攻击原理比较简单，如图1所示。其中We
CSRF攻击原理及防护
diubrother的博客
03-09 2402
一、CSRF是什么 CSRF全称为跨站请求伪造（Cross-site request forgery），是一种网络攻击方式，也被称为 one-click attack 或者 session riding。 二、CSRF攻击原理 CSRF攻击利用网站对于用户网页浏览器的信任，挟持用户当前已登陆的Web应用程序，去执行并非用户本意的操作。 三、CSRF攻击实例 角色： 正常浏览网页的用户：User 正...
CSRF 攻击详解
只为成功找方法 不为失败找借口
05-22 5250
禁用 CSRF 保护有其合理的应用场景，特别是在开发 RESTful API、使用其他防护措施、内部应用和非浏览器客户端时。然而，需要谨慎对待这个决定，并确保在适当的场景中启用 CSRF 保护，以防范潜在的安全风险。
CSRF的攻击与法防御
dzqxwzoe的博客
03-10 617
具体来讲，可以这样理解CSRF攻击：攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等。从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。登录Web应用程序，提交表单，在CSRF工具中修改表单内容，查看是否更改，如果更改表面存在CSRF漏洞。
token和cookie的区别
jason121388的博客
11-05 1万+
HTTP协议本身是无状态的，所以需要一个标志来对用户身份进行验证 1、cookie 用户登录成功后，会在服务器存一个session，同时发送给客户端一个cookie，这个cookie里面有唯一标识该用户的sessionID 数据需要客户端和服务器同时存储 用户再进行请求操作时，需要带上cookie，在服务器进行验证 cookie是有状态的 2、token 用户进行任何操作时，都需要带上一个token token的存在形式有很多种，header/requestbody/url 都可以 这个token只需要存在
CSRF——攻击与防御
热门推荐
lake2的专栏
04-02 4万+
CSRF——攻击与防御author: lake20x01 什么是CSRF攻击    CSRF是Cross Site Request Forgery的缩写（也缩写为XSRF），直译过来就是跨站请求伪造的意思，也就是在用户会话下对某个CGI做一些GET/POST的事情——这些事情用户未必知道和愿意做，你可以把它想做HTTP会话劫持。    网站是通过cookie来识别用户的，当用户成功进行
系统安全扫描扫出了：可能存在 CSRF 攻击怎么办
io_123io_123的博客
05-27 978
系统安全扫描扫出了：可能存在 CSRF 攻击怎么办
crsf的攻击流程
07-01
CSRF（Cross-Site Request Forgery，跨站请求伪造）攻击是一种利用用户已认证的身份，在其不知情的情况下执行非预期操作的攻击方式。攻击者通常通过诱导用户点击恶意链接、访问恶意网站或查看特定内容来触发攻击。 ### CSRF 攻击的工作原理 1. **浏览器自动携带 Cookie**：现代 Web 应用通常依赖 Cookie 来维持用户的登录状态。当用户访问目标网站时，浏览器会自动将相关的 Cookie 信息附加到 HTTP 请求中。 2. **诱导用户发起请求**：攻击者通过社交工程手段（如电子邮件、聊天消息等）诱导用户访问一个包含恶意请求的页面，例如 `<img>` 标签、`<form>` 提交或 JavaScript 脚本。 3. **利用用户的认证状态**：由于浏览器自动附带了目标网站的 Cookie，服务器无法区分该请求是否由用户主动发起，从而认为这是合法的操作并执行。 ### CSRF 攻击流程 1. **用户登录目标网站**：假设用户已经登录了一个银行网站 `https://bank.example.com`，并且浏览器中存储了相关的 Cookie。 2. **攻击者构造恶意请求**：攻击者设计一个恶意页面，其中包含一个隐藏的表单提交或者图片请求，指向银行网站的敏感操作接口，例如转账功能： ```html <img src="https://bank.example.com/transfer?to=attacker&amount=1000" /> ``` 3. **用户访问恶意页面**：用户在未退出银行网站的情况下访问了攻击者的页面，浏览器自动向银行网站发送请求，并附带了已认证的 Cookie。 4. **服务器处理请求**：银行网站接收到请求后，验证了 Cookie 的有效性，误认为这是用户主动发起的操作，因此执行了转账指令。 ### 示例场景 假设有一个博客平台，允许用户删除自己的文章。攻击者可以构造如下 HTML 页面： ```html <!DOCTYPE html> <html> <head> <title>CSRF Attack Example</title> </head> <body> <h1>You won a prize! Click here to claim it!</h1> <form action="https://blog.example.com/delete-post" method="POST"> <input type="hidden" name="post_id" value="123" /> <input type="submit" value="Claim Prize" /> </form> </body> </html> ``` 如果受害者在未退出博客平台的情况下访问此页面并点击按钮，系统将删除 ID 为 `123` 的文章，而用户可能并不知情。 ### 防御措施 - **使用 CSRF Token**：服务器生成一个随机令牌（Token），并在每次请求时要求客户端提供该令牌。即使攻击者能够诱导用户发送请求，也无法获取到该令牌。 - **SameSite Cookie 属性**：设置 Cookie 的 `SameSite` 属性为 `Strict` 或 `Lax`，以防止跨站点请求携带 Cookie。 - **Referer 检查**：服务器检查请求头中的 `Referer` 字段，确保请求来自可信来源。 - **验证码机制**：对关键操作（如支付、密码修改）引入验证码，确保操作由真实用户发起。 ### 相关问题 1. 如何检测和防御反射型 XSS 攻击？ 2. 在 Spring Security 中如何正确配置 CSRF 防护？ 3. SameSite Cookie 属性的具体作用及其不同取值的区别是什么？ 4. 如何在前端和后端协同实现 CSRF Token 验证？ 5. 为什么在某些情况下需要禁用 CSRF 防护？
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值