V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
zhuyingda
V2EX  ›  信息安全

关于 Web 安全中 CSRF 攻击的原理及实践

  •  
  •   zhuyingda · 2016-09-15 14:21:55 +08:00 · 3345 次点击
    这是一个创建于 2991 天前的主题,其中的信息可能已经有所发展或是发生改变。

    为防止匿名转载,请移步原文阅读 ^^

    https://www.zhuyingda.com/blog/b5.html

    3 条回复    2016-09-16 22:14:39 +08:00
    bugmenein
        1
    bugmenein  
       2016-09-15 15:38:05 +08:00
    "NET::ERR_CERT_REVOKED"

    然而已吊销 WoSign CA & Start SSL 。
    wdlth
        2
    wdlth  
       2016-09-16 11:15:24 +08:00
    我把 WoSign 的证书策略全取消了,就是想看它被玩弄的样子……
    wangxiaoer
        3
    wangxiaoer  
       2016-09-16 22:14:39 +08:00
    我也是醉了,还不让转载,复制.

    "其实 CSRF 并不一定非要借助受害用户的浏览器,黑客可以自己写脚本伪造出一个和真实的 http 请求一模一样的数据包发给你的服务器,前提是你的这个 http 接口中的所有参数都是可以预期的。
    需要说明的是,对于广义的 CSRF ,是我自己的理解,在这一点上可能与书本上所讲的内容存在一些出入。"

    这是误解,这种直接通过其他途径获取到用户身份如 cookie 的啥的,然后伪造后台直接伪造请求,不属于 CSRF 的范畴。


    “要实现 CSRF 的关键,在于找到 XSS 漏洞”

    你是在逗我吗?这俩有个半毛钱关系?两者的确可以结合起来做攻击,但是原理半毛钱关系都没有。
    CSRF 的本质是“攻击者在受害者不知情的情况下以受害者的身份发送某些敏感操作到服务端”,这种防范很简单, Http Referer 判断就可以,只不过由于担心浏览器漏洞使得 referer 被篡改,大部分都采用 token 的方式。


    所以对于真正的 Restful 服务来讲是不存在 CSRF 攻击的,因为他是无状态的,而发动 CSRF 恰恰需要利用的就是这个状态(一般是 cookie )。

    下面的已经看不下去了,楼主还是多看看相关的概念,细细品味品味。
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   2812 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 29ms · UTC 14:26 · PVG 22:26 · LAX 06:26 · JFK 09:26
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.