淺談CSRF

前端安全

  • 常見前端安全問題有: xss攻擊似袁、 csrf攻擊 兩種癞谒,今天總結(jié)一下目前了解的csrf攻擊方式以及規(guī)避方法胯陋。

概念

  • CSRF 跨站請(qǐng)求攻擊 英文(cross-site request forgery)

實(shí)施過程

  • 用戶小明登錄 A網(wǎng)站褥赊,A網(wǎng)站下發(fā)cookie 用來驗(yàn)證當(dāng)前用戶卜朗;
  • 小明在未注銷A網(wǎng)站的前提下 登錄B網(wǎng)站(攻擊者的網(wǎng)站)蝌麸,B網(wǎng)站誘引小敏點(diǎn)擊頁面某些部分的方式点寥、攜帶A網(wǎng)站的cookie,網(wǎng)站A并不知道該請(qǐng)求其實(shí)是由B發(fā)起的来吩,所以會(huì)根據(jù)小明的Cookie信息授權(quán)處理請(qǐng)求敢辩,導(dǎo)致來自網(wǎng)站B的惡意代碼被執(zhí)行。比如:添加關(guān)注弟疆、取消關(guān)注戚长、添加商品、結(jié)算兽间、轉(zhuǎn)賬历葛、發(fā)送垃圾郵件等行為;
  • 客官:請(qǐng)看圖片
小明OS

防御方法

  • token 驗(yàn)證
    上一步提到的,網(wǎng)站B通過獲取A網(wǎng)站下發(fā)的cookie進(jìn)行惡意的請(qǐng)求操作恤溶,
    token驗(yàn)證方法原理是在cookie之外再攜帶一個(gè)驗(yàn)證乓诽、進(jìn)行除了cookie之外的驗(yàn)證、B網(wǎng)站拿不到這個(gè)token 也就無法合理的請(qǐng)求A網(wǎng)站咒程。
    用戶小明登錄A網(wǎng)站鸠天,A下發(fā)cookie以及token、將token數(shù)據(jù)保存在session中帐姻、每當(dāng)用戶提交操作時(shí)稠集、將請(qǐng)求攜帶的token于session進(jìn)行對(duì)比,不相同則拒絕執(zhí)行操作饥瓷。
token
  • reference 驗(yàn)證
    網(wǎng)站進(jìn)行請(qǐng)求操作時(shí)剥纷,在 http headers有一個(gè)字段叫 Referer,它記錄了該 HTTP 請(qǐng)求的來源地址呢铆,如果當(dāng)前發(fā)起請(qǐng)求的地址不是規(guī)定的地址晦鞋,拒絕當(dāng)前請(qǐng)求。


    qq音樂
最后編輯于
?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請(qǐng)聯(lián)系作者
  • 序言:七十年代末棺克,一起剝皮案震驚了整個(gè)濱河市悠垛,隨后出現(xiàn)的幾起案子,更是在濱河造成了極大的恐慌娜谊,老刑警劉巖确买,帶你破解...
    沈念sama閱讀 222,681評(píng)論 6 517
  • 序言:濱河連續(xù)發(fā)生了三起死亡事件,死亡現(xiàn)場(chǎng)離奇詭異纱皆,居然都是意外死亡湾趾,警方通過查閱死者的電腦和手機(jī),發(fā)現(xiàn)死者居然都...
    沈念sama閱讀 95,205評(píng)論 3 399
  • 文/潘曉璐 我一進(jìn)店門抹剩,熙熙樓的掌柜王于貴愁眉苦臉地迎上來撑帖,“玉大人,你說我怎么就攤上這事澳眷『伲” “怎么了?”我有些...
    開封第一講書人閱讀 169,421評(píng)論 0 362
  • 文/不壞的土叔 我叫張陵钳踊,是天一觀的道長(zhǎng)衷敌。 經(jīng)常有香客問我,道長(zhǎng)拓瞪,這世上最難降的妖魔是什么缴罗? 我笑而不...
    開封第一講書人閱讀 60,114評(píng)論 1 300
  • 正文 為了忘掉前任,我火速辦了婚禮祭埂,結(jié)果婚禮上面氓,老公的妹妹穿的比我還像新娘兵钮。我一直安慰自己,他們只是感情好舌界,可當(dāng)我...
    茶點(diǎn)故事閱讀 69,116評(píng)論 6 398
  • 文/花漫 我一把揭開白布掘譬。 她就那樣靜靜地躺著,像睡著了一般呻拌。 火紅的嫁衣襯著肌膚如雪葱轩。 梳的紋絲不亂的頭發(fā)上,一...
    開封第一講書人閱讀 52,713評(píng)論 1 312
  • 那天藐握,我揣著相機(jī)與錄音靴拱,去河邊找鬼。 笑死猾普,一個(gè)胖子當(dāng)著我的面吹牛袜炕,可吹牛的內(nèi)容都是我干的。 我是一名探鬼主播抬闷,決...
    沈念sama閱讀 41,170評(píng)論 3 422
  • 文/蒼蘭香墨 我猛地睜開眼妇蛀,長(zhǎng)吁一口氣:“原來是場(chǎng)噩夢(mèng)啊……” “哼!你這毒婦竟也來了笤成?” 一聲冷哼從身側(cè)響起,我...
    開封第一講書人閱讀 40,116評(píng)論 0 277
  • 序言:老撾萬榮一對(duì)情侶失蹤眷茁,失蹤者是張志新(化名)和其女友劉穎炕泳,沒想到半個(gè)月后,有當(dāng)?shù)厝嗽跇淞掷锇l(fā)現(xiàn)了一具尸體上祈,經(jīng)...
    沈念sama閱讀 46,651評(píng)論 1 320
  • 正文 獨(dú)居荒郊野嶺守林人離奇死亡培遵,尸身上長(zhǎng)有42處帶血的膿包…… 初始之章·張勛 以下內(nèi)容為張勛視角 年9月15日...
    茶點(diǎn)故事閱讀 38,714評(píng)論 3 342
  • 正文 我和宋清朗相戀三年,在試婚紗的時(shí)候發(fā)現(xiàn)自己被綠了登刺。 大學(xué)時(shí)的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片籽腕。...
    茶點(diǎn)故事閱讀 40,865評(píng)論 1 353
  • 序言:一個(gè)原本活蹦亂跳的男人離奇死亡,死狀恐怖纸俭,靈堂內(nèi)的尸體忽然破棺而出皇耗,到底是詐尸還是另有隱情,我是刑警寧澤揍很,帶...
    沈念sama閱讀 36,527評(píng)論 5 351
  • 正文 年R本政府宣布郎楼,位于F島的核電站,受9級(jí)特大地震影響窒悔,放射性物質(zhì)發(fā)生泄漏呜袁。R本人自食惡果不足惜,卻給世界環(huán)境...
    茶點(diǎn)故事閱讀 42,211評(píng)論 3 336
  • 文/蒙蒙 一简珠、第九天 我趴在偏房一處隱蔽的房頂上張望阶界。 院中可真熱鬧,春花似錦、人聲如沸膘融。這莊子的主人今日做“春日...
    開封第一講書人閱讀 32,699評(píng)論 0 25
  • 文/蒼蘭香墨 我抬頭看了看天上的太陽托启。三九已至宅倒,卻和暖如春,著一層夾襖步出監(jiān)牢的瞬間屯耸,已是汗流浹背拐迁。 一陣腳步聲響...
    開封第一講書人閱讀 33,814評(píng)論 1 274
  • 我被黑心中介騙來泰國(guó)打工, 沒想到剛下飛機(jī)就差點(diǎn)兒被人妖公主榨干…… 1. 我叫王不留疗绣,地道東北人线召。 一個(gè)月前我還...
    沈念sama閱讀 49,299評(píng)論 3 379
  • 正文 我出身青樓,卻偏偏與公主長(zhǎng)得像多矮,于是被迫代替她去往敵國(guó)和親缓淹。 傳聞我的和親對(duì)象是個(gè)殘疾皇子,可洞房花燭夜當(dāng)晚...
    茶點(diǎn)故事閱讀 45,870評(píng)論 2 361

推薦閱讀更多精彩內(nèi)容