即时通讯安全：跨站点WebSocket劫持漏洞

wecloud1314

已于 2023-02-22 10:31:23 修改

阅读量1k

点赞数

CC 4.0 BY-SA版权

文章标签： websocket 安全网络

于 2022-08-19 14:03:04 首次发布

本文链接：https://blog.youkuaiyun.com/wecloud1314/article/details/126423630

WebSocket技术在实时应用中的广泛使用带来安全问题，尤其是跨站点WebSocket劫持漏洞。该漏洞允许恶意网站伪装成合法来源，绕过身份认证，获取服务器信息或篡改数据。检测方法包括重播WebSocket升级请求，检查Origin头部。防范措施主要是服务器端校验Origin，拒绝不同源的连接请求。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

WebSocket 作为 HTML5 的新特性之一格外吸引着开发人员的注意，因为它的出现使得客户端（主要指浏览器）提供对 Socket 的支持成为可能，从而在客户端和服务器之间提供了一个基于单 TCP 连接的双向通道。对于实时性要求比较高的应用而言，譬如在线证券、在线游戏，以及不同设备之间信息同步。信息实时同步一直是技术难题，在 WebSocket 出现之前，常见解决方案一般就是轮询（Polling）和 Comet 技术，但这些技术增加了设计复杂度，也造成了网络和服务器的额外负担，在负载较大的情况下效率相对低下，导致应用的可伸缩行收到制约。对于此类应用的开发者来说，WebSocket 技术简直就是神兵利器，读者可以登陆 websocket.org 网站观看特色案例，以及它提供的 WebSocket 和 Comet 的性能对比分析报告。最近几年内 WebSocket 技术被开发人员广泛应用到各类实际应用中。