白帽子讲Web安全 第四章 跨站点请求伪造(CSRF)

1、CSRF : Cross Site Request Forgery.

该攻击通过在授权用户访问的页面中包含链接或脚本的方式工作。是一种依赖Web浏览器的、被混淆过的代理人攻击。

2、常见特性:

依靠用户标识危害网站

利用网站对用户标识的信任

欺骗用户的浏览器发送HTTP请求给目标站点

另外可以通过含有src性质的标签(eg: iframe\image\script\style)会触发一个GET请求,可以利用这个发起CSRF攻击.

详见:http://www.cnblogs.com/hyddd/archive/2009/04/09/1432744.html

3、CSRF防御

1)验证码

--强制用户与应用交互。最简洁有效的防御方法。

2)Referer Check

-- HTTP Referer是header的一部分,当浏览器向web服务器发送请求的时候,一般会带上Referer,告诉服务器我是从哪个页面链    接过来的,服务器藉此可以获得一些信息用于处理。

Referer缺陷在于,服务器并非什么时候都能获取到Referer。

3)  One-Time Tokens(不同的表单包含一个不同的伪随机值)

随机的Token需要同时放在表单和Session中。在提交请求时,服务器只需验证表单中的Token与用户Session(或cookie)中的Token是否一致,一致合法,不一致不合法。

Token的使用原则:

足够随机---需要使用安全的随机数生成器来生成Token。

需要有有效的生命时间----eg:若表单提交了已经消耗类Token,则需再生成一个新的Token。

若Token不放在Session中,放在cookie中。如果只有一个Token 则考虑 可能有多页面共用的情况,所以应该考虑生成多个有效的Token,以解决多页面的问题。

注意Token的保密性----尽量把Token放在表单里,把敏感操作由GET改为POST,以form表单(或AJAX)形式提交。

时间: 01-17

白帽子讲Web安全 第四章 跨站点请求伪造(CSRF)的相关文章

《白帽子讲WEB安全》学习笔记之第4章 跨站点请求伪造(CSRF)

第4章 跨站点请求伪造(CSRF) 4.1 CSRF简介 CSRF(Cross-site request forgery跨站请求伪造,也被称为"one click attack"或者session riding,通常缩写为CSRF或者XSRF,是一种对网站的恶意利用. CSRF是一种依赖web浏览器的.被混淆过的代理人攻击(deputy attack). 4.2 CSRF进阶 浏览器所持有的Cookie分为两种:一种是"Sesion Cookie",又称"

白帽子讲WEB安全 第六章 HTML 5安全

1.新标签的XSS H5中定义类很多新标签.新事件可能带来XSS(为研究XSS攻击H5的变化成立项目----HTML 5 Security Cheatsheet) eg: 1)  <video src=" "  onloadedmetadate="alter(XSS)">----远程加载视频 2)  <audio>----远程加载音频 3) iframe 的新属性---sandbox:这一属性使iframe加载的内容变成一个独立的源,其中脚本

白帽子讲WEB安全 第七章 注入攻击

一.SQL注入: 1.注入攻击的本质:把用户输入的数据当代码执行. 攻击的关键点:1.用户能够控制输入: 2.原本程序要执行的代码, 2.盲注(Blind Injection):在服务器没有错误回显时完成的注入攻击. 3.时序攻击(Timing Attack):利用BENCHMARK()函数(mysql中用于测试函数性能的函数),可以让同一个函数执行若干次,使得结果返回的时间比平时要长:通过时间长短的变化,可以判断出注入语句是否执行成功.这是一种边信道攻击. 边信道攻击(side channel

白帽子讲Web安全 第三章 跨站脚本攻击(XSS)

XSS----Cross Site Script; XSS攻击,通常指黑客通过"HTML注入"篡改了网页,插入了恶意的脚本,从而在用户浏览网页时,控制用户浏览器的一种攻击. 1.XSS根据效果划分三类: 1)反射型XSS(非持久型XSS):简单的把用户输入的数据"反射"给浏览器.黑客往往需要诱导用户点击一个恶意链接,才能攻击成功. 2)存储型XSS(持久型XSS):存储型会把用户输入的数据存储在服务器端.这种具有很强的稳定性. 3)DOM Based XSS:通过修

白帽子讲Web安全2.pdf

XSS构造技巧 利用字符编码: var redirectUrl="\";alert(/XSS/);"; 本身没有XSS漏洞,但由于返回页面是GBK/GB2312编码的“%c1\”成为了一个Unicode字符,忽略掉转义字符\ %c1";alert(/XSS/);// 绕过长度限制: 很多时候产生XSS的地方会有变量长度限制,将代码藏在location.hash中,然后在其他地方调用即可 http://www.a.com/test.html#alert(1) <

《白帽子讲Web安全》笔记1-5章

由于最近公司服务器被攻击,但是公司没有安全工程师,所以自己也想了解这方面的知识,于是购买了此书,看的时候记录了一些自己认为重要的笔记.转载请注明出处:http://blog.csdn.net/cym492224103 第1章 安全世界观 安全评估过程 资产等级划分 威胁分析 风险分析 确认解决方案 第2章 浏览器安全 第3章 XSS攻击 反射型XSS 存储型XSS DOM Based XSS XSS钓鱼 XSS攻击平台 Flash XSS XSS防御 第4章 CSRF CSRF本质 CSRF防御

白帽子讲Web安全1.pdf

第一章 我的安全世界观 安全是一个持续过程 6种威胁:Spoofing(伪装).Tampering(篡改).Repudiation(抵赖).InformationDisclosure(信息泄漏).Denial of Service(拒绝服务).Elevation of Privilege(提升权限) 一个优秀的安全方案需要: 有效解决问题 用户体验良好 高性能 低耦合 易于升级和扩展 安全策略 Secure by Default原则(最小权限原则):白名单可通过和禁止黑名单,前者限制的范围更大更

读&gt;&gt;&gt;&gt;白帽子讲Web安全&lt;&lt;&lt;&lt;摘要→我推荐的一本书

<白帽子讲Web安全>吴翰清著 刚开始看这本书就被这本书吸引,感觉挺不错,给大家推荐下,最近读这本书,感觉不错的精华就记录下, 俗话说>>>好脑袋不如一个烂笔头<<< 还有,大家也看出来,最近我也要开始写博客了, 万事开头难嘛,先拿来那些nx点的人物的书籍来记录下, 本人文笔确实不怎么滴,思路略混乱,中学时代我的作文就是我们班的一盏亮灯,指引我们全班文笔不要向我的文笔思路靠近 ←```warn```→ 读万卷书,行万里路,以后不做宅男.加油··· 信息不等于

《白帽子讲Web安全》——第一篇 第一章 我的安全世界观

前些日子定的书单,下放给各淘宝卖家,今天来的第一本就是这本,是一个我完全陌生的领域,然而强烈的好奇心,催使我看完了第一章,其实就是个概述. 1.1 Web安全简史 exploit:黑客们使用的漏洞利用代码. Script Kids:只对攻击本身感兴趣,没有动手能力,对计算机原理和各种编程技术略知一二,因而只能编译别人的代码的黑客,即“脚本小子”. 1. Web安全的兴起 (1)SQL注入 (2)XSS (3)CSRF http://blog.csdn.net/dyllove98/article/