你的钱为什么被转走，这篇文章告诉你答案（CSRF详解）

最新推荐文章于 2024-12-11 17:57:27 发布

愚公要移山

最新推荐文章于 2024-12-11 17:57:27 发布

阅读量1w

点赞数

CC 4.0 BY-SA版权

分类专栏： java工具加密

本文链接：https://blog.youkuaiyun.com/SDDDLLL/article/details/104001297

java工具同时被 2 个专栏收录

6 篇文章

订阅专栏

加密

5 篇文章

订阅专栏

本文深入解析了CSRF（跨站请求伪造）攻击原理，通过实例展示了如何利用此漏洞非法转账，同时提供了三种防御策略，包括验证码、RefererCheck和动态Token。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

这段时间很多文章标题都是面试官，所以跟个风，这篇文章也以面试官开头，主要内容是关于CSRF。全称叫做Cross-site request forgery，中文全称叫做跨站请求伪造。

一、CSRF是什么？

刚刚已经说了，全称叫做夸张请求伪造，很明显就是和安全有关的一个知识点，意思是攻击者通过伪造用户的浏览器的请求，向访问一个用户自己曾经认证访问过的网站发送出去，使目标网站接收并误以为是用户的真实操作而去执行命令。

举个例子来解释，你去某网买东西，输入了用户名密码，攻击者在另外一个页面重新使用了你的用户名密码。比如发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账。

所以说危害那是相当严重，我们使用一张图来表示一下这个过程吧。

在这里插入图片描述
至于能不能经得起诱惑，就看个人了。有时候我们点击了某一个链接但是没有执行任何操作，银行卡的钱却不见了，你知道这是为什么吗？我们可以模拟一下这个过程。

二、你的钱为什么会不见了

其实这个步骤和刚刚那个图是一样的。现在有张三和李四进行转账。

1、张三给李四100块，执行的操作是：

xxx/transfer.php?from=张三&money=100&to=李四

**注意此时的张三没有把页面关闭掉。**这里的前缀我没有写，因为文章审核通过不了。

2、黑客想把钱转给自己，执行的操作是：

xxx/transfer.php?from=张三&money=100&to=黑客

很明显会失败，这是因为张三在登录系统的时候会通过cookie，把自己的session传递给后台服务器。此时系统检查当前的session中的身份，发现不正确就拒绝了。

3、黑客继续想办法，使用不良网站诱导：

网站的连接很有颜色感，让张三欲罢不能，于是点击了诱导链接A。此时返回给黑客的信息就是：

<html>
	<body>
		<form method="get" action="xxx/java">  
			<input type="hidden" name="from" value="张三">   
			<input type="hidden" name="money" value="100">  
			<input type="hidden" name="to" value="黑客">   
			<input type="button" οnclick="submit()" value="来呀，快活呀">
		</form>
	</body>
</html>