CSRF总结

  • 开发
  • 67

CSRF

文章目录

CSRF

跨站点请求伪造（CSRF）攻击者会诱导受害者点击事先伪造好的url或者链接，点击后，攻击者就可以盗用你的身份，以你的身份发送恶意请求。

漏洞原理

网站的cookie在浏览器中不会过期，只要不关闭浏览器或者退出登录，那以后只要是访问这个网站，都会默认你已经登录的状态。

漏洞危害

攻击者盗用了你的身份，以你的名义发送恶意请求，造成个人隐私泄露以及财产安全。

漏洞防护

1.阻止不明外域的访问
2.提交时要求附加本域才能获取信息

CSRF攻击流程

1.受害者登录a.com，并保留了登录凭证（cookie）
2.攻击者引诱受害者访问了b.com
3.b.com向a.com发送了一个请求：a.com/act=xx，浏览器会默认携带a.com的cookie
4.a.com接收到请求后，对请求进行验证，并确认是受害者的凭证，误以为是受害者自己发送的请求
5.a.com以受害者的名义执行act=xx
6.攻击完成，攻击者在受害者不知情的情况下，冒充受害者，让a.com执行了自己定义的操作

CSRF和XSS的区别

CSRF跨站请求伪造，是以用户的身份攻击，自己没有权限。
XSS跨站脚本攻击，是盗取了用户的权限进行攻击

CSRF漏洞挖掘及利用

burp抓包后修改Referer字段再重新提交，如果请求成功就存在CSRF
在这里插入图片描述

阅读全部

相关推荐

  2. <span style='color:red;'>CSRF</span>

    CSRF

    2023-12-30 00:10:06      71 阅读

最近更新

  3. docker php8.1+nginx base 镜像 dockerfile 配置

    2023-12-30 00:10:06       94 阅读

  4. Could not load dynamic library ‘cudart64_100.dll‘

    2023-12-30 00:10:06       101 阅读

  9. 在Django里面运行非项目文件

    2023-12-30 00:10:06       82 阅读

  19. Python语言-面向对象

    2023-12-30 00:10:06       91 阅读

  20. 如何分清楚常见的 Git 分支管理策略Git Flow、GitHub Flow 和 GitLab Flow

    2023-12-30 00:10:06       85 阅读

热门阅读

  2. Top100 C++编程面试问题

    2023-12-30 00:10:06       45 阅读

  3. 网络安全面试题目

    2023-12-30 00:10:06       57 阅读

  5. Linux 系统参数和变量配置

    2023-12-30 00:10:06       49 阅读

  7. 篇章二 | Python 入门指南：深入理解基础数据类型

    2023-12-30 00:10:06       56 阅读

  9. Impala中kudu基础理论详解（超详细）

    2023-12-30 00:10:06       53 阅读

  11. Android 13 限制原生浏览器（Browser）访问某个网址或只允许访问某个网址

    2023-12-30 00:10:06       58 阅读

  14. centos 编译安装 cmake

    2023-12-30 00:10:06       66 阅读

  20. 【生成和为20的四个随机数】

    2023-12-30 00:10:06       52 阅读

  27. C#编程简单应用程序批量修改文件名3.0

    2023-12-30 00:10:06       60 阅读