csrf请求伪造

CSRF(跨站请求伪造)介绍及防范方法

  Origami  发表于 2008-02-22 – 12:53 am  

     CSRF(跨站请求伪造)全称:Cross Site Request Forgery.

 

    CSRF利用方式比较类似XSS(跨站脚本 Cross Site Scripting) ,不过不同的是CSRF是构造一个提交来让其他人访问后,利用站点对这些人的信任来进行一些所期望的操作.

 

    比如:A和B在同一个有XSS漏洞的站点C,B登录过D站点,并且有这个D站点的 Cookies,这时候如果A构造一个CSRF,内容为给 A在D站点的账户转移一些虚拟币,如果这时候在C站点浏览的B用户打开了A构造的含有CSRF的页面,这时候B的D站点用户会因为对B用户的信任而进行给 A转账的操作.

 

    防范CSRF只有从程序员本身入手, Origami的方法是用户登录后产生随机Session并赋值给页面中的某个Hidden标签,提交表单时候同时提交这个Hidden标签并验证,验证 后销毁标签,只要用户不离开页面就不停产生随机Session赋值给Hidden标签

你可能感兴趣的:(c,session,Cookies,脚本,CSRF,scripting)