資訊專欄INFORMATION COLUMN
摘要：全程跨站域請求偽造這種攻擊方式相對于注入等攻擊方式比較晚被發現今天就來講解下這種攻擊方式以及避免方式攻擊過程假設用戶登錄銀行的網站進行操作同時也訪問了攻擊者預先設置好的網站點擊了攻擊者網站的某一個鏈接這個鏈接是指向銀行銀行服務器會根據這個鏈
CSRF全程 Cross Site Request Forgery, 跨站域請求偽造.這種攻擊方式相對于XSS,SQL注入等攻擊方式比較晚被發現,今天就來講解下這種攻擊方式以及避免方式.
攻擊過程假設abc用戶登錄銀行的網站進行操作, 同時也訪問了攻擊者預先設置好的網站.
abc點擊了攻擊者網站的某一個鏈接,這個鏈接是http://www.bank.com/xxxx指向銀行,銀行服務器會根據這個鏈接攜帶的參數會進行轉賬操作.
銀行服務器在執行轉賬操作之前會進行SESSION驗證是否登錄, 但是由于abc已經登錄了銀行網站,攻擊者的鏈接也是www.bank.com.所以攻擊的鏈接就會攜帶session id到銀行服務器.
由于session id是正確的,所以銀行會判斷操作是由本人發起的,執行轉賬操作.
演示根據上面的說明,我們來模擬一下攻擊的過程.
有www.bank.com跟www.hacker.com.用戶abc登錄www.bank.com網站之后點擊了www.hacker.com的點擊抽大獎的誘騙鏈接
此鏈接會向www.bank.com發起一個post請求.由于請求域名為www.bank.com,所以請求會攜帶www.bank.com的session id.
www.hacker.com的代碼
Title
可以發現,www.hacker.com的網頁中包含了一個向www.bank.com發起的post請求.并且表單都沒隱藏了,只有一個誘騙用戶點擊的按鈕.
完整的實例代碼可以在github上找到.傳送門.
預防從上面的例子 可以看到csrf攻擊.黑客不能拿到cookie,也沒辦法對服務器返回的內容進行解析.唯一能做的就是給服務器發送請求.通過發送請求改變服務器中的數據.上面的例子中攻擊者誘導用戶點擊鏈接進行轉賬操作,使得銀行數據庫中受害者的金額發生了改變.
了解了csrf攻擊的原理和目標,提出了兩種防御手段
referer 驗證根據HTTP協議,在http請求頭中包含一個referer的字段,這個字段記錄了該http請求的原地址.通常情況下,執行轉賬操作的post請求www.bank.com/transfer.php應該是點擊www.bank.com網頁的按鈕來觸發的操作,這個時候轉賬請求的referer應該是www.bank.com.而如果黑客要進行csrf攻擊,只能在自己的網站www.hacker.com上偽造請求.偽造請求的referer是www.hacker.com.所以我們通過對比post請求的referer是不是www.bank.com就可以判斷請求是否合法.
這種方式驗證比較簡單,網站開發者只要在post請求之前檢查referer就可以,但是由于referer是由瀏覽器提供的.雖然http協議有要求不能篡改referer的值.但是一個網站的安全性絕對不能交由其他人員來保證.
token 驗證從上面的樣式可以發現,攻擊者偽造了轉賬的表單,那么網站可以在表單中加入了一個隨機的token來驗證.token隨著其他請求數據一起被提交到服務器.服務器通過驗證token的值來判斷post請求是否合法.由于攻擊者沒有辦法獲取到頁面信息,所以它沒有辦法知道token的值.那么偽造的表單中就沒有該token值.服務器就可以判斷出這個請求是偽造的.
文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規行為，您可以聯系管理員刪除。
轉載請注明本文地址：http://m.specialneedsforspecialkids.com/yun/22235.html
摘要：網絡黑白一書所抄襲的文章列表這本書實在是垃圾，一是因為它的互聯網上的文章拼湊而成的，二是因為拼湊水平太差，連表述都一模一樣，還抄得前言不搭后語，三是因為內容全都是大量的科普，不涉及技術也沒有干貨。 《網絡黑白》一書所抄襲的文章列表 這本書實在是垃圾，一是因為它的互聯網上的文章拼湊而成的，二是因為拼湊水平太差，連表述都一模一樣，還抄得前言不搭后語，三是因為內容全都是大量的科普，不涉及技術...
摘要：前端最基礎的就是。但是如果是盜竊，異常提交請求，這些就屬于危險操作?？梢杂脕韨窝b成其他用戶操作，有可能就會造成財產上的損失。劫持有的時候運營商的劫持還是沒辦法。 前端最基礎的就是 HTML+CSS+Javascript。掌握了這三門技術就算入門，但也僅僅是入門，現在前端開發的定義已經遠遠不止這些。前端小課堂（HTML/CSS/JS），本著提升技術水平，打牢基礎知識的中心思想，我們開課啦...
摘要：搞開發離不開安全這個話題，確保網站或者網頁應用的安全性，是每個開發人員都應該了解的事。阿里巴巴的安全團隊在實戰中發現，防御產品的核心是檢測技術和清洗技術。表示轉賬的目標賬戶，表示轉賬數目。 搞 Web 開發離不開安全這個話題，確保網站或者網頁應用的安全性，是每個開發人員都應該了解的事。本篇主要簡單介紹在 Web 領域幾種常見的攻擊手段。 1. Cross Site Script（XSS...
摘要：應用常見安全漏洞一覽注入注入就是通過給應用接口傳入一些特殊字符，達到欺騙服務器執行惡意的命令。此外，適當的權限控制不曝露必要的安全信息和日志也有助于預防注入漏洞。 web 應用常見安全漏洞一覽 1. SQL 注入 SQL 注入就是通過給 web 應用接口傳入一些特殊字符，達到欺騙服務器執行惡意的 SQL 命令。 SQL 注入漏洞屬于后端的范疇，但前端也可做體驗上的優化。 原因 當使用外...
閱讀 1806·2021-09-03 10:50
閱讀 1335·2019-08-30 15:55
閱讀 3375·2019-08-30 15:52
閱讀 1237·2019-08-30 15:44
閱讀 947·2019-08-30 15:44
閱讀 3323·2019-08-30 14:23
閱讀 3556·2019-08-28 17:51
閱讀 2297·2019-08-26 13:52
