读书笔记——威胁：跨站请求伪造

最新推荐文章于 2024-12-23 15:54:11 发布

潜龙在渊

最新推荐文章于 2024-12-23 15:54:11 发布

阅读量1.3k

点赞数

CC 4.0 BY-SA版权

分类专栏： ASP.NET

本文链接：https://blog.youkuaiyun.com/kdf123/article/details/14455527

ASP.NET 专栏收录该内容

9 篇文章

订阅专栏

本文介绍了三种有效防御CSRF攻击的方法：令牌验证、幂等GET请求和HTTP Referrer验证。通过使用ASP.NET MVC框架的AntiForgeryToken辅助方法、限制仅通过POST请求修改数据库或网站内容以及验证请求是否来自同一站点，可以显著提高系统的安全性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

跨站请求伪造（Cross-Site Request Forgery,CSRF,但也用缩写XSRF表示），CSRF比简单的跨站脚本攻击更具危险性。

阻止CSRF攻击

1）、令牌验证

可采用ASP.NET MVC 框架自带的方法：

@Html.AntiForgeryToken()

...

</form>

Html.AntiForgeryToken辅助方法会输出一个加密值作为隐藏的输入元素：

隐藏值作为cookie存于浏览器，会话时进行验证

[ValidateAntiforgeryToken]

public ActionResult Register(...)

2)、幂等的GET请求

一般仅通过POST请求修改数据库或网站上的内容，就可以有效防止全部CSRF攻击。

3）、HttpRefferer验证

public class IsPostedFromThisSiteAttribute:AuthorizeAttribute
        {
            public override void OnAuthorize(AuthorizationContext filterContext)
            {
                if (filterContext.HttpContext!=null)
                {
                    if (filterContext.HttpContext.Request.UrlReferrer==null)
                    {
                        throw new System.Web.HttpException("Invalid submission");
                    }

                    if (filterContext.HttpContext.Request.UrlReferrer.Host!="mysite.com")
                    {
                        throw new System.Web.HttpException("This form wasn't submitted from this site!");
                    }
                }
            }
        }

        //在Register方法上添加过滤器
        [IsPostedFromThisSite]
        public ActionResult Register(...)