对不允许跨域访问的网站后台，如何进行请求的发送

最新推荐文章于 2024-11-12 20:04:48 发布

原创最新推荐文章于 2024-11-12 20:04:48 发布 · 135 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#c#

网络安全专栏收录该内容

1 篇文章

订阅专栏

文章讨论了一种CSRF（跨站请求伪造）攻击方式，通过嵌入隐藏表单并自动提交，攻击者可以利用用户的Cookie在他们不知情的情况下更改论坛邮箱。虽然这种攻击无法被CORS策略阻止，但若服务器验证请求头，这种攻击可被防御。

<form action="http://yourforum.com/changeemail" method="POST" id="evilForm">
    <input type="hidden" name="email" value="evil@example.com">
</form>
<script>document.getElementById('evilForm').submit();</script>

这种情况下，当你访问第三方页面时，你的浏览器都会自动向http://yourforum.com/changeemail发送一个请求，并附带你在yourforum.com的Cookie。这种方式的CSRF攻击无法被CORS策略阻止。但是此种方式无法带上请求头，对于验证请求头的后台是可以预防这种方式的攻击的。