1. beplay体育能用吗网络安全学院
  2. CSRF.

跨站点请求伪造(CSRF)

在本节中,我们将解释什么横向请求伪造,描述了常见的CSRF漏洞的一些示例,并解释了如何防止CSRF攻击。

什么是csrf?

跨站点请求伪造(也称为CSRF)是一种Web安全漏洞,允许攻击者引起用户执行他们不打算执行的操作。beplay体育能用吗它允许攻击者部分地规避相同的原点策略,该策略旨在防止不同的网站对彼此干扰。beplay体育能用吗

CSRF.

CSRF攻击的影响是什么?

在成功的CSRF攻击中,攻击者会导致受害者用户无意中执行行动。例如,这可能是在其帐户上更改电子邮件地址,以更改密码,或者进行资金转移。根据行动的性质,攻击者可能能够完全控制用户帐户。如果受损的用户在应用程序中具有特权角色,则攻击者可能能够完全控制所有应用程序的数据和功能。

CSRF如何工作?

对于CSRF攻击是可能的,必须到位三个关键条件:

  • 相关行动。攻击者有一个有理由诱导的申请中存在一个动作。这可能是一个特权措施(例如修改其他用户的权限)或对用户特定数据的任何操作(例如更改用户自己的密码)。
  • 基于Cookie的会话处理。执行该操作涉及发出一个或多个HTTP请求,并且该应用程序完全依赖于会话cookie以标识已提出请求的用户。跟踪会话或验证用户请求没有其他机制。
  • 没有不可预测的请求参数。执行操作的请求不包含任何值攻击者无法确定或猜测的任何参数。例如,当导致用户更改密码时,如果攻击者需要知道现有密码的值,则该函数不会易受攻击。

例如,假设应用程序包含允许用户在其帐户上更改电子邮件地址的函数。当用户执行此操作时,它们会使以下内容进行HTTP请求:

发布/电子邮件/更改HTTP / 1.1
主机:vvstnerable-webeplay体育能用吗bsite.com.
内容类型:应用程序/ X-WWW-Form-Urlencoded
内容长度:30
cookie:session = yvthwsztyeqkapzeq5ghgtvlyxhfsafe

电子邮件= wener@normal-user.com.

这符合CSRF所需的条件:

  • 更改用户帐户上的电子邮件地址的操作对攻击者感兴趣。在此操作之后,攻击者通常能够触发密码重置并完全控制用户的帐户。
  • 该应用程序使用会话cookie来标识哪个用户发出了该请求。跟踪用户会话没有其他令牌或机制。
  • 攻击者可以轻松确定执行操作所需的请求参数的值。

通过这些条件到位,攻击者可以构建包含以下HTML的网页:beplay体育能用吗




<输入类型=“隐藏”名称=“电子邮件”value =“pwned@evil-user.net”/>