搜索

[7411] 2018-05-07_CSRF漏洞防御方法

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2018-05-07_CSRF漏洞防御方法 C S R F 漏 洞 防 御 方 法 原 创   小 挺   F 1 1 T e a m   2 0 1 8 - 0 5 - 0 7 一 、 C S R F 漏 洞 产 生 条 件 1 、 未 验 证 访 问 来 源 2 、 未 在 请 求 中 加 入 额 外 的 参 数 用 于 判 断 请 求 是 否 异 常 ， 如 t o k e n 技 术 3 、 请 求 中 不 包 含 用 于 唯 一 标 识 用 户 的 参 数 或 只 有 用 户 知 道 的 参 数 ， 如 修 改 密 码 时 的 原 密 码 等 二 、 C S R F 漏 洞 的 防 御 1 、 验 证 r e f e r e r 字 段 此 方 法 可 以 在 一 定 程 度 上 防 御 C S R F 漏 洞 ， 但 是 效 果 不 好 。 原 因 如 下 ： 1 ） 虽 然 浏 览 器 默 认 不 能 修 改 r e f e r e r 字 段 的 值 ， 但 不 是 绝 对 的 。 将 希 望 放 在 浏 览 器 等 第 三 方 的 身 上 ， 肯 定 是 不 安 全 的 。 2 ） 为 了 隐 私 着 想 ， 用 户 可 能 会 自 己 设 置 浏 览 器 不 再 发 送 r e f e r e r 字 段 ， 在 这 种 情 况 下 ， 当 应 用 发 现 没 有 r e f e r e r 字 段 的 请 求 ， 可 能 会 误 拦 合 法 用 户 ， 影 响 用 户 的 使 用 。 3 ） 使 用 正 则 的 方 式 匹 配 r e f e r e r 字 段 是 有 机 会 被 绕 过 的 。 2 、 请 求 添 加 t o k e n 并 后 端 验 证 点 击 原 文 链 接 获 取 全 文 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理