美文网首页程序猿阵线联盟-汇总各类技术干货网络与信息安全从0到1玩转网络安全
从0到1学习网络安全 【Web安全入门篇-CSRF 跨站请求伪造

从0到1学习网络安全 【Web安全入门篇-CSRF 跨站请求伪造

作者: _07 | 来源:发表于2018-06-05 16:05 被阅读68次

    CSRF

    跨站请求伪造(英语:Cross-site request forgery),也被称为 one-click attack 或者 session riding,通常缩写为 CSRF 或者 XSRF, 是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。
    攻击者盗用了你在某个网站的身份,以你的名义发送恶意请求。


    CSRF 漏洞的原理

    1、 用户C打开浏览器,访问受信任的Web A网站,请求登录网站A;
    2、用户信息通过验证后,网站A产生Cookie信息并返回给浏览器,此时用户登录网站A成功,可以正常发送请求到网站A;
    3、用户没有登出网站A的情况下,在同一浏览器中又访问了网站B
    4、网站B接收请求后,返回一些攻击性代码,并要求用户访问第三方网站A;
    5、浏览器在接收到这些攻击性代码后,根据网站B的请求,在用户不知情的情况下携带Cookie信息,向网站A发出请求。
    6、网站A并不知道该请求其实是由B发起的,所以会根据用户C的Cookie信息以C的权限处理该请求,导致来自网站B的恶意代码被执行。

    • 如图:


      图片1.png

    CSRF 攻击实验

    假设:

    • A 网站


      image.png
    • B网站


      image.png


    Step1:受害者访问A网站并执行登录。
    image.png

    Step2:受害者在不登出A网站的情况下,访问B网站。


    image.png

    Step3:受害者,点击领取超级大礼发现跳转页面到网站A的修改密码页面。


    image.png

    Step4:受害者退出网站A再次登录发现密码错误!


    image.png

    其实密码已经被攻击者改成了 hacker 。


    注:《白帽子讲Web安全》中有一句话:互联网本来是安全的,自从有了研究安全的人之后,互联网就变得不安全了。
    所以,小编希望大家都是白帽子,而不是一群只会搞恶作剧的骇客。

    由于小编也在学习中,写的不好见谅。
    从0到1学习网络安全 【目录】
    小编最近建了交流群方便大家交流学习,群内有小编平时整理的学习资料、视频、工具等。
    白帽交流群 【简介】
    感谢大家支持。

    相关文章

      网友评论

        本文标题:从0到1学习网络安全 【Web安全入门篇-CSRF 跨站请求伪造

        本文链接:https://www.haomeiwen.com/subject/jxgpsftx.html