黑客新技术之CSRF攻击手法

  • 时间:
  • 浏览:0
  • 来源:10分6合官网平台_10分6合网投平台_10分6合投注平台_10分6合娱乐平台





作者: 论坛派发 zdnet网络安全

CNETNews.com.cn

10008-01-06 15:46:29

关键词: 攻击防范 CSRF 黑客

Cross-site request forgery:跨站请求伪造,也被称成为“one click attack”你要 session riding,通常缩写为CSRF你要 XSRF,是有一种对网站的恶意利用。尽管听起来像跨站脚本(XSS),但它与XSS非常不同,你要 攻击办法几乎相左。XSS利用站点内的信任用户,而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比,CSRF攻击往往不大流行(你要 对其进行防范的资源也相当稀少)和难以防范,可是被认为比XSS更具危险性。 

示例和外部 

«  ‹  ›  »

CSRF攻击通过在授权用户访问的页面中所含链接你要 脚本的办法工作。相似:一个多多网站用户Bob你要 正在浏览聊天论坛,而一起去可以可以 用户Alice 也在此论坛中,你要 后可以可以 发布了一个多多具有Bob银行链接的图片消息。设想一下,Alice编写了一个多多在Bob的银行站点上进行取款的form提交的链接,并将此链接作为图片tag。你要 Bob的银行在cookie中保存他的授权信息,你要 此cookie可以可以 过期,可以可以 当Bob的浏览器尝试装载图片时将提交你有一种取款form和他的cookie,可以可以 在没经Bob同意的情形下便授权了这次事务。

CSRF是有一种依赖web浏览器的、被混淆过的代理人攻击(deputy attack)。在底下银行示例中的代理人是Bob的web浏览器,它被混淆后误将Bob的授权直接交给了Alice使用。

下面是CSRF的常见外部:

依靠用户标识危害网站

利用网站对用户标识的信任

欺骗用户的浏览器发送HTTP请求给目标站点

风险在于哪些地方地方通过基于受信任的输入form和对特定行为不需要授权的已认证的用户来执行你要 行为的web应用。你要 通过被保地处用户浏览器中的cookie进行认证的用户将在完正无知的情形派发送HTTP请求到那个信任他的站点,进而进行用户不愿做的行为。

使用图片的CSRF攻击常常老出在网络论坛中,你要 那里允许用户发布图片而能可以 使用JavaScript。

防范办法 

«  ‹  ›  »

对于web站点,将持久化的授权办法(相似cookie你要 HTTP授权)切换为瞬时的授权办法(在每个form中提供隐藏field),这将帮助网站出理 哪些地方地方攻击。有一种相似的办法是在form中所含秘密信息、用户指定的代号作为cookie之外的验证。

可以可以 可选的办法是“双提交”cookie。此办法只工作于Ajax请求,但它可以作为不需要改变几滴 form的全局修正办法。你要 某个授权的 cookie在form post可以可以 正被JavaScript代码读取,可以可以 限制跨域规则将被应用。你要 服务器可以 在Post请求体你要 URL中所含授权cookie的请求,可以可以 你有一种请求可以 来自于受信任的域,你要 其它域是能可以 从信任域读取cookie的。

与通常的信任想法相反,使用Post代替Get办法不须能提供卓有成效的保护。你要 JavaScript能使用伪造的POST请求。尽管可以可以 ,哪些地方地方原应 对安全产生“副作用”的请求应该总使用Post办法发送。Post办法不需要在web服务器和代理服务器日志中留下数据尾巴,然而Get办法却会留下数据尾巴。

尽管CSRF是web应用的基本问提,而都在用户的问提,但用户可以在过低安全设计的网站上保护我们歌词 的帐户:通过在浏览其它站点前登出站点你要 在浏览器会话开始英语 英语 了后清理浏览器的cookie。

影响CSRF的因素 

«‹  ›  »

CSRF攻击依赖下面的假定:

攻击者了解受害者所在的站点

攻击者的目标站点具有持久化授权cookie你要 受害者具有当都在话cookie

目标站点可以可以 对用户在网站行为的第二授权

外部链接 

«  ‹  ›  »

Cross-Site Request Forgeries

RFC 2616

The Cross-Site Request Forgery FAQ

Foiling Cross-Site Attacks

Security Tips for Web Developers

CSRF Attacks and Protecting Your Site