学习
实践
活动
专区
工具
TVP
写文章

CSRF攻击原理场景

CSRF攻击CSRF攻击概述:CSRF(Cross Site Request Forgery, 跨站域请求伪造)是一种网络的攻击方式,它在 2007 年曾被列为互联网 20 大安全隐患之一。 其他安全隐患,比如 SQL 脚本注入,跨站域脚本攻击等在近年来已经逐渐为众人熟知,很多网站也都针对他们进行了防御。然而,对于大多数人来说,CSRF 却依然是一个陌生的概念。 即便是大名鼎鼎的 Gmail, 在 2007 年底也存在着 CSRF 漏洞,从而被黑客攻击而使 Gmail 的用户造成巨大的损失。CSRF攻击原理:网站是通过cookie来实现登录功能的。 防御CSRF攻击CSRF攻击的要点就是在向服务器发送请求的时候,相应的cookie会自动的发送给对应的服务器。造成服务器不知道这个请求是用户发起的还是伪造的。 在Django中,如果想要防御CSRF攻击,应该做两步工作。第一个是在settings.MIDDLEWARE中添加CsrfMiddleware中间件。

29940

CSRF攻击防御原理

Leafo老师基于Moonscript语言开发的WEB框架Lapis,框架中有一段针对CSRF(Cross—Site Request Forgery)的防护代码, 是一种基于围绕时间戳和签名验证的CSRF 防护设计,后来Leafo老师还更新了CSRF的处理代吗: Changes Replaced the CSRF implementation, removed the key parameter and 跨站攻击的本质是, 攻击者拿着你的“身份凭证”,冒充你进行的相关攻击行为。 为了防止CSRF的发生,创建Token处理机制,Token数据结构与时间、加密签名相关, 这么做的目的是给“身份凭证”加上时间生存周期管理,如果的凭证被人拿到了, 要先判断Token中的“签名”与时间戳是否都有效 以下,是Token生成的加密原理和具体实现例子: 1.Token构成。 为了防止CSRF攻击,Token要求不能重复,需要含有时间戳信息。

88230
  • 广告
    关闭

    游戏安全场景解决方案

    基于腾讯20余年的防护技术积累,一站式解决游戏服务端、客户端安全问题

  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    CSRF攻击原理介绍和利用

    如何理解你可以这么理解CSRF攻击? “攻击者盗用了你的身份,以你的名义发送恶意请求”,CSRF是一种依赖web浏览器的、被混淆过的代理人攻击,往往涉及到个人隐私泄露以及财产安全。 0x01 CSRF基础原理 描述:在讲解CSRF之前我们先来看一个小明和小红和面部解锁的故事,就是小明去小红家玩耍,而玩了以后小红困了就去睡一觉这时小明只能找其他的东西玩,这时他看见了小红的手机但是解锁需要进行面部识别 CSRF基础流程原理图: ? WeiyiGeek. ; } } (2)JSON采用CSRF进行攻击 描述: 在漏洞挖掘过程当中多少会碰到csrf攻击 基本的csrf攻击,用burp就可以直接生成poc来测试(包括通过xhr请求执行csrf) 但是碰到 CSRF攻击

    2.3K20

    CSRF攻击原理介绍和利用

    如何理解你可以这么理解CSRF攻击? “攻击者盗用了你的身份,以你的名义发送恶意请求”,CSRF是一种依赖web浏览器的、被混淆过的代理人攻击,往往涉及到个人隐私泄露以及财产安全。 ---- 0x01 CSRF基础原理 描述:在讲解CSRF之前我们先来看一个小明和小红和面部解锁的故事,就是小明去小红家玩耍,而玩了以后小红困了就去睡一觉这时小明只能找其他的东西玩,这时他看见了小红的手机但是解锁需要进行面部识别 CSRF基础流程原理图: WeiyiGeek. ; } } (2)JSON采用CSRF进行攻击 描述: 在漏洞挖掘过程当中多少会碰到csrf攻击 基本的csrf攻击,用burp就可以直接生成poc来测试(包括通过xhr请求执行csrf) 但是碰到 CSRF攻击

    12040

    CSRF 攻击详解

    CSRF的中文名称尽管听起来像跨站脚本攻击(XSS),但它与XSS非常不同,并且攻击方式几乎相左。 XSS利用站点内的信任用户,而CSRF则通过伪装来自受信任用户的请求来攻击受信任的网站。 CSRF攻击的流程 CSRF攻击攻击原理及过程如下: 用户C打开浏览器,访问受信任网站A,输入用户名和密码请求登录网站A; 在用户信息通过验证后,网站A产生Cookie信息并返回给浏览器,此时用户登录网站 以CSRFTester工具为例,CSRF漏洞检测工具的测试原理如下: 使用CSRFTester进行测试时,首先需要抓取我们在浏览器中访问过的所有链接以及所有的表单等信息,然后通过在CSRFTester中修改相应的表单等信息 如果修改后的测试请求成功被网站服务器接受,则说明存在CSRF漏洞,当然此款工具也可以被用来进行CSRF攻击。 预防CSRF攻击 1. 在讲清token防御的原理后,我们再来讲token的设计,因为token方式给人的感觉很复杂令人望而生畏。

    21820

    CSRF原理与防御 | 你想不想来一次CSRF攻击

    但是在我们的网站中,大部分都没有做CSRF的防御,小伙伴们想不想来一次CSRF攻击,体验一下做黑客感觉? 如果想要做黑客,可要仔细的往下看哟~ CSRF攻击原理 要想理解CSRF攻击原理,我们从一个经典的案例出发,看看它是如何进行攻击的。 这就是CSRF攻击原理,在其他的网站向你的网站发送请求,如果你的网站中的用户没有退出登录,而发送的请求又是一些敏感的操作请求,比如:转账,那么将会给你的网站的用户带来巨大的损失。 CSRF的防御 我们知道了CSRF攻击原理,就可以做针对性的防御了。CSRF的防御可以从两个方面考虑,一个是后台接口层做防御;另一个则是在前端做防御,这种不同源的请求,不可以带cookie。 以上就是后端防御CSRF攻击的两种方式,都需要在后端做特殊的处理。当然也可以在前端做处理,怎么做呢?我们接着往下看。 前端防御CSRF 既然CSRF攻击的危害这么大,为什么不能在前端禁止这种请求呢?

    51431

    CSRF】通过DVWA教你学会CSRF攻击

    Hello 各位小伙伴大家好 今天还是一起来看看,什么是CSRF攻击吧... Part.1 什么是CSRF攻击? Part.2 CSRF攻击过程还原 攻击流程还原 依然是我们非常好用的DVWA平台,安全级别为Low,选择CSRF页面。 ? 是一个给我们修改用户密码的页面,为什么存在CSRF漏洞呢? 假设第二个URL是攻击者恶意发送给用户的,用户一旦在cookie没过期的情况下点击了,那密码不久被攻击者修改了吗? 这就是一个简单的CSRF攻击,这下明白了吗? 结合存储型XSS进行攻击 方法三:结合存储型XSS进行攻击 我们也可以结合存储型XSS漏洞进行攻击,将CSRF代码写入XSS注入点中,如下: ? Referer字段验证 攻击方式我们都知道了,但是怎么来防护CSRF攻击呢?

    92020

    CSRF攻击与防御

    CSRF概念:CSRF跨站点请求伪造(Cross—Site Request Forgery),跟XSS攻击一样,存在巨大的危害性,你可以这样来理解: 攻击者盗用了你的身份,以你的名义发送恶意请求 如下:其中Web A为存在CSRF漏洞的网站,Web B为攻击者构建的恶意网站,User C为Web A网站的合法用户。 ? CSRF攻击攻击原理及过程如下: 1. 以CSRFTester工具为例,CSRF漏洞检测工具的测试原理如下:使用CSRFTester进行测试时,首先需要抓取我们在浏览器中访问过的所有链接以及所有的表单等信息,然后通过在CSRFTester中修改相应的表单等信息 如果修改后的测试请求成功被网站服务器接受,则说明存在CSRF漏洞,当然此款工具也可以被用来进行CSRF攻击。 防御CSRF攻击: 目前防御 CSRF 攻击主要有三种策略:验证 HTTP Referer 字段;在请求地址中添加 token 并验证;在 HTTP 头中自定义属性并验证。

    57020

    XSS 和 CSRF 攻击

    看到这里,你也许会说:“如果我不满足以上两个条件中的一个,我就不会受到CSRF攻击”。 上面大概地讲了一下CSRF攻击的思想,下面我将用几个例子详细说说具体的CSRF攻击,这里我以一个银行转账的操作作为例子(仅仅是例子,真实的银行网站没这么傻:>) 示例1: 银行网站A,它以GET请求来完成银行转账的操作 只要触发了CSRF攻击,后果都有可能很严重。      而如果攻击者要对银行网站实施CSRF攻击,他只能在自己的网站构造请求,当用户通过攻击者的网站发送请求到银行时,该请求的Referer是指向攻击者的网站。 由此可知,抵御CSRF攻击的关键在于:在请求中放入攻击者所不能伪造的信息,并且该信息不存在于Cookie之中。

    49310

    CSRF攻击那点事

    其实区别还是很大的,下面我给大家来讲讲CSRF原理 ? 2.原理 (1)我们在讲原理之前,先来讲一个东西——‘’浏览器会话‘’,当你在一个网站上面登录了你的帐号,就会通过浏览器与网站成立一个会话。 这个时候BB发现了你的行为,想要利用CSRF攻击从XX的帐号上转走钱。于是BB采取了行动。我们先来看一下这个网站的规则。 4.检测CSRF漏洞 在检测CSRF漏洞的时候,首先要确定的是:CSRF只能通过用户的正规操作进行攻击,实际上就是在劫持用户操作。 5.结束语 今天我们来详细的分析了CSRF漏洞的原理,以及如何利用,如何检测CSRF的漏洞方法。虽然CSRF不太流行,但却更加难以防范,所以CSRF比XSS更危险,CSRF在业内称为“苏醒的巨人”。 简单总结一下,CSRF攻击就是建立在被害者与网站的会话之上,黑客使被害者点击构造好的链接,以被害者的身份向服务器提交请求,达到黑客的攻击目的。检测漏洞就是通过拦截HTTP请求来分析并且尝试。

    36240

    CSRF攻击与防御

    CSRF 攻击 跨站请求伪造(Cross-site request forgery)简称为 CSRF。 这种攻击方式很奇特,它是伪造用户的请求发动攻击的,在 CSRF 攻击过程中,用户往往在不知情的情况下构造了网络请求。 通过上面例子可以发现,CSRF 攻击可以利用表单提交、src 属性不受跨域限制发动攻击。用户往往在不知情的情况下,只是点了某个链接,就中招了。 CSRF 攻击危害很大,可能删除一篇博文也没什么,但是如果是发表评论,可能就会造成恶劣的影响,比如发表一些色情甚至反动的言论栽赃用户;银行的支付系统如果存在 CSRF 漏洞,很可能造成用户财务损失;CSRF 防范 CSRF 攻击 CSRF 攻击主要特征就是利用用户的登录态,在有登录状态网站时访问了恶意网站(用户并不清楚是不是恶意的),恶意网站利用 CSRF 漏洞伪装成用户发起了请求。

    85440

    Flask模拟实现CSRF攻击

    CSRF CSRF全拼为Cross Site Request Forgery,译为跨站请求伪造。 CSRF攻击者盗用了你的身份,以你的名义发送恶意请求。 CSRF攻击示意图 客户端访问服务器时没有同服务器做安全验证 ? 防止 CSRF 攻击 步骤 在客户端向后端请求界面数据的时候,后端会往响应中的 cookie 中设置 csrf_token 的值 在 Form 表单中添加一个隐藏的的字段,值也是 csrf_token <input type="submit" value="转账"> </form> </body> </html> 运行测试,如果在未登录的情况下,不能直接进入转账页面,测试转账是成功的 攻击网站 的隐藏字段,而且浏览器有同源策略,网站B是获取不到网站A的 cookie 的,所以就解决了跨站请求伪造的问题 在 Flask 项目中解决 CSRF 攻击 在 Flask 中, Flask-wtf 扩展有一套完善的

    46630

    Web安全(三)---CSRF攻击

    文章目录 CSRF攻击 #1 什么是CSRF攻击 #2 Cookie #3 浏览器的同源策略 #3 前后端分离项目如何避免CSRF攻击 #3.1 防御一 --- 验证码 #3.2 防御二 --- HTTP Referer #3.3 防御三 --- TOKEN CSRF攻击 #1 什么是CSRF攻击 CSRF跨站点请求伪造(Cross—Site Request Forgery) 攻击者盗用了你的身份 (TOKEN或Cookie等认证),以你的名义往服务器发请求,这个请求对于服务器来说是完全合法的,但是却完成了攻击者所希望的操作,而你全然不知,例如:以你的名义发送邮件,转账之类的操作 CSRF攻击过程 #2 Cookie 正常的CSRF攻击,攻击发送的请求默认会自动携带Cookie Cookie字段 含义 NAME=VALUE 赋予 Cookie 的名称和其值(必需项) expires=DATE 即如果开始讨论,iframe内外层不同源就不能相互操作,外层想获取内层的内容只能使用点击劫持配合;实现原理亦如前所述未知。

    40010

    实战:Express 模拟 CSRF 攻击

    CSRF攻击 是前端领域常见的安全问题,概念方面不再赘述,可以参考维基百科。 对于这些概念,包括名词定义、攻击方式、解决方案等估计大家都看过不少,但留下印象总是很模糊,要动手操作一番才能加深印象并能真正理解,所以我决定动手实现一个 CSRF攻击场景,并通过演示的方式讲解 CSRF CSRF 攻击流程 CSRF 模拟攻击 CSRF 防范方法 CSRF 攻击流程 假设用户先通过 bank.com/auth 访问银行网站A的授权接口,通过认证后拿到A返回的 cookie: userId 这样就完成了一次基本的 CSRF 攻击CSRF 攻击流程图如下: ? 如果现在看不懂没关系,可以看完演示再回头看此图就会恍然大悟了。 CSRF 模拟攻击 首先通过 express 搭建后端,以模拟 CSRF 攻击

    60110

    浅析CSRF攻击和防御

    CSRF CSRF(Cross-site request forgery)跨站请求伪造,攻击者盗用受害人的已登录身份,向服务器提交恶意的请求,对于服务器来说,伪造的请求完全合法,虽然这并不是受害人的本意 攻击过程 1.受害人登录受信任的网站,输入用户名和密码 2.受信任网站通过验证通过后,生成受害人cookie。 危害 一旦攻击者挟持了你在某信任网站的cookie信息,就可以向网站发起恶意的请求,比如以受害人名义发帖、发邮件、购物、转账等一系列恶意操作。 设置SameSite、HttpOnly,防止cookie泄露 总结 CSRF漏洞很多时候不被重视,其实危害巨大。 解决CSRF也并非难事,尤其是用户基数大的网站更要保护好用户信息安全。

    10710

    关注

    腾讯云开发者公众号
    10元无门槛代金券
    洞察腾讯核心技术
    剖析业界实践案例
    腾讯云开发者公众号二维码

    相关产品

    • DDoS 防护

      DDoS 防护

      腾讯云DDoS防护解决方案为企业组织提供 DDoS 高防包、DDoS 高防 IP 等多种 DDoS防护产品,全面、高效、专业的应对 DDoS 攻击问题。通过充足、优质的 DDoS 防护资源,结合持续进化的“自研+AI 智能识别”清洗算法,保障用户业务的稳定、安全运行。

    相关资讯

    热门标签

    活动推荐

    扫码关注腾讯云开发者

    领取腾讯云代金券