CSRF攻击原理解析

最新推荐文章于 2025-02-14 16:09:16 发布
最新推荐文章于 2025-02-14 16:09:16 发布
阅读量477 收藏
点赞数
文章标签： csrf 浏览器 firefox iframe domain flash
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/bluephper/article/details/4151928
版权

CSRF的英文全称是Cross Site Request Forgery，字面上的意思是跨站点伪造请求

 

浏览器的安全缺陷：

来自与页面相同domain的文件请求都会带cookie，包括图片，音乐，flash，iframe

 

浏览器cookie缺陷：

1。内存cookie，ie允许跨域访问

2。网站设置 P3P头，ie允许跨域访问cookie

3。firefox没有限制

 

 

CSRF攻击分类 :

 

站内：滥用$_REQUEST ， 利用$_GET参数提交表单。（网站对本站cookie登陆的信任）

 

站外：在站外web页面写js脚本伪造文件请求或者表单提交。（利用网站对跨域cookie的信任）

 

只要用户浏览这样页面，就会强迫发起请求

 

利用被攻击站点对用户登陆的信任，在用户不知情的情况下，发表一些内容

 

 

bluephper
关注
CSRF攻击(跨站请求伪造)
糖小喵
04-22 373
csrf:csrf说白了就是盗用用户的身份. 防御： A:验证 HTTP Referer 字段； 在 HTTP 头中有一个字段叫 Referer，它记录了该 HTTP 请求的来源地址。 这种方法的显而易见的好处就是简单易行，网站的普通开发人员不需要操心 CSRF 的漏洞，只需要在最后给所有安全敏感的请求统一增加一个拦截器来检查 Referer 的值就可以。每个浏览器对于 Referer...
CSRF攻击原理与解决方法
缘来侍你的博客
02-17 2万+
一、 前言 因为现代浏览器的工作机制原因，造成一种WEB攻击形态的存在， 这种攻击形式叫做CSRF攻击，以往我们是从攻击角度分析这种攻击的原理和操作。这次我们给出攻击原理同时，给出CSRF在服务器端的防御的解决方案。CSRF是现代WEB程序要面对的共通性问题，在很多流行的WEB框架中，都会将CSRF的问题直接在WEB框架层面解决。 我们先抛出CSRF这个问题，然后介绍基于时间与签名的防护手段，并且给出的这种防御手段的具体代码实现。过程中使用了Lua语言进行实现功能， LUA是一种容易理解的脚本语言，大家
必读篇！CSRF攻击原理与解决方法
Galaxy_0的博客
11-25 1560
CSRF（Cross-site request forgery），中文名称：跨站请求伪造，也被称为：one click attack/session riding，缩写为：CSRF/XSRF。CSRF具体表现为攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账…造成的问题包括：个人隐私泄露以及财产安全。
CSRF攻击！
m_ing
06-20 300
前言：前几天我们一起学习了XSS攻击，今天学习的CSRF与XSS有点相似，但事实上完全不是一回事到后期可能有一些结合的点。希望大家认证学习， 加以区分 CSRF 中文是跨站点请求伪造,CSRF攻击者在用户已经登录目标网站之后，诱导用户访问一个攻击页面利用目标网站对用户的信任。以你的身份在攻击页面对目标网站发起伪造用户操作的请求，比如以你的名义发送邮件、发消息、盗取你的账号等等 CSRF与XSS最大的区别就在于，CSRF并没有盗取你的cookie而是直接利用 攻击场景： web a 为存在漏洞的网站，we
2021-03-31
m0_55876880的博客
03-31 264
什么是 CSRF 攻击？如何防范 CSRF 攻击？ CSRF 攻击指的是跨站请求伪造攻击，攻击者诱导用户进入一个第三方网站，然后该网站向被攻击网站发送跨站请求。如果用户在被 攻击网站中保存了登录状态，那么攻击者就可以利用这个登录状态，绕过后台的用户验证，冒充用户向服务器执行一些操作。 CSRF 攻击的本质是利用了 cookie 会在同源请求中携带发送给服务器的特点，以此来实现用户的冒充。 一般的 CSRF 攻击类型有三种： 第一种是 GET 类型的 CSRF 攻击，比如在网站中的一个 img 标签里构建一个
CSRF攻击
秋水的博客
09-04 1448
CSRF攻击原理 什么是csrf？ CSRF（Cross-site request forgery）跨站请求伪造：也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与X...
CSRF 攻击详解
只为成功找方法 不为失败找借口
05-22 4452
禁用 CSRF 保护有其合理的应用场景，特别是在开发 RESTful API、使用其他防护措施、内部应用和非浏览器客户端时。然而，需要谨慎对待这个决定，并确保在适当的场景中启用 CSRF 保护，以防范潜在的安全风险。
148.CSRF攻击原理分析、防御、装饰器、中间件、IFrame以及js实现csrf攻击
zjy123078_zjy的博客
02-22 752
CSRF攻击概述： CSRF（Cross Site Request Forgery 跨站域请求伪造）是一种网站攻击的方式，它在2007年曾被列为互联网20大安全隐患之一。其他的安全隐患，比如SQL脚本注入，跨站域脚本攻击等在近年来已经逐渐为众人熟知，很多网站也都针对他们进行了防御。然而，对于大多数人来说，CSRF还是很陌生的，Gmail在2007年底也存在csrf漏洞，从而被黑客攻击而使Gmail...
CSRF攻击原理及防御和相关漏洞复现
qq_43710889的博客
08-08 2089
CSRF攻击原理及防御和相关漏洞复现 CSRF（Cross-site request forgery）跨站请求伪造，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。 CSRF攻击原理及过程： 过程 1.用户打开浏览器，访问受信任银行网站，输入用户名密码请求登陆网站 2.在
深入解析跨域与 CSRF 攻击：原理、危害及解决方案
qq_39895671的博客
02-14 734
跨域是指在浏览器中，当一个网页尝试从与其所在域名不同的域名请求资源时，浏览器出于安全考虑会阻止这种行为。协议：http:// 和 https://域名：example.com 和 api.example.com端口：example.com:8080 和 example.com:3000由于两者域名不同，因此被视为跨域。1.2 跨域问题的由来跨域限制是浏览器的一种安全机制，称为 同源策略 （Same-Origin Policy），目的是防止恶意网站通过脚本访问其他网站的敏感数据。
MVC Html.AntiForgeryToken() 防止CSRF攻击
热门推荐
cpytiger的专栏
04-10 5万+
（一）MVC Html.AntiForgeryToken() 防止CSRF攻击 MVC中的Html.AntiForgeryToken()是用来防止跨站请求伪造(CSRF:Cross-site request forgery)攻击的一个措施,它跟XSS(XSS又叫CSS:Cross-Site-Script),攻击不同,XSS一般是利用站内信任的用户在网站内插入恶意的脚本代码进行攻击，而CSRF则是
csrf攻击原理与解决方法
最新发布
02-20
### CSRF攻击机制 CSRF（跨站点请求伪造）是一种网络攻击手段，在此类攻击中，攻击者利用受害者在受信任网站上的认证状态执行非授权指令。具体而言，当用户访问了一个由攻击者控制的网页(Web B)，该网页可能包含一...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值