CSRF(跨站请求伪造)介绍及防范方法

Origami 发表于 2008-02-22 – 12:53 am

CSRF(跨站请求伪造)全称:Cross Site Request Forgery.

CSRF利用方式比较类似XSS(跨站脚本 Cross Site Scripting) ,不过不同的是CSRF是构造一个提交来让其他人访问后,利用站点对这些人的信任来进行一些所期望的操作.

比如:A和B在同一个有XSS漏洞的站点C,B登录过D站点,并且有这个D站点的Cookies,这时候如果A构造一个CSRF,内容为给 A在D站点的账户转移一些虚拟币,如果这时候在C站点浏览的B用户打开了A构造的含有CSRF的页面,这时候B的D站点用户会因为对B用户的信任而进行给 A转账的操作.

防范CSRF只有从程序员本身入手, Origami的方法是用户登录后产生随机Session并赋值给页面中的某个Hidden标签,提交表单时候同时提交这个Hidden标签并验证,验证后销毁标签,只要用户不离开页面就不停产生随机Session赋值给Hidden标签< /p>

本站仅提供存储服务，所有内容均由用户发布，如发现有害或侵权内容，请点击举报。