Web漏洞之CSRF(跨站请求伪造漏洞）详解

最新推荐文章于 2025-04-15 13:32:04 发布

麻辣香猪:-D

最新推荐文章于 2025-04-15 13:32:04 发布

阅读量3.3k

点赞数 8

文章标签： http

本文链接：https://blog.youkuaiyun.com/weixin_46669844/article/details/128884941

版权

本文详细介绍了CSRF（跨站请求伪造）漏洞，包括其定义、攻击过程、分类、原理和防御措施。CSRF攻击利用用户的已登录状态，通过第三方网站发起恶意请求，影响用户在目标网站的操作，例如修改信息或进行交易。防御方法包括验证HTTPReferer字段和使用Anti-CSRFtoken。同时，文章强调了在确保安全性和功能便利性之间的平衡挑战。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

我们知道了同源策略可以隔离各个站点之间的 DOM 交互、页面数据和网络通信，虽然严格的同源策略会带来更多的安全，但是也束缚了 Web。这就需要在安全和自由之间找到一个平衡点，所以我们默认页面中可以引用任意第三方资源，然后又引入 CSP 策略来加以限制；默认 XMLHttpRequest 和 Fetch 不能跨站请求资源，然后又通过 CORS 策略来支持其跨域。

所以安全性降低了，为了更好的技术应用，同时也带来了更多的安全隐患，如XSS，CSRF。

一、什么是CSRF？

跨站请求伪造，冒用Cookie中的信息，发起请求攻击。
CSRF（Cross-site request forgery）跨站请求伪造：攻击者诱导受害者进入第三方网站，在第三方网站中，向被攻击网站发送跨站请求。利用受害者在被攻击网站已经获取的注册凭证，绕过后台的用户验证，达到冒充用户对被攻击的网站执行某项操作的目的。