web安全问题 csrf攻击怎么防御？

2018-01-22 14:37:59责编：llp 来源：驱动管家人气：

前言

我们在前端面试过程中遇到的另一个最多的问题就是web安全了，这次我们来聊聊CSRF攻击。CSRF是一种常见的攻击，但是也是web安全中最容易被忽略的一种攻击方式。下面话不多说了，来一起看看详细的介绍吧。

什么是CSRF(跨站点请求伪造)

根据字面意思，大概能猜到，CSRF攻击就是攻击者伪造了用户的请求，在用户不知道的情况下，以用户的名义向服务器发送恶意请求。常见的场景是，用户首先登陆一个正常（下面称为被攻击网站）的网站，攻击者诱使用户在不关闭被攻击网站的同时打开攻击者的页面，这时攻击者就可以以用户的名义给被攻击网站发送恶意请求了。可以看出CSRF是有条件的，首先用户要登陆被攻击网站，并生成Cookie，然后在不登出被攻击网站的同时，访问攻击网站。这两个条件缺一不可。

CSRF进阶

浏览器Cookie策略

CSRF之所以能成功，主要还是因为用户的浏览器成功发送了Cookie的缘故。浏览器所持有的Cookie分为两种：一种是“Session Cookie”，又叫“临时Cookie”；另一种是“Third-party Cookie”，也称为“本地Cookie”。

Third-party Cookie，服务器在Set-Cookie时指定了Expire时间，只有到了Expire时间后Cookie才会失效，而Session Cookie则没有指定Expire时间，浏览器关闭后就失效了。如果浏览器从一个域的页面中，要加载另一个域的资源，由于安全原因，某些浏览器会阻止Third-party Cookie的发送。由于新打开的页面和原来的页面在同一个浏览器进程中，所以Session Cookie将会被发送。

IE浏览器处于安全考虑是禁止浏览器在、、<div cdata_tag="script" cdata_data="、<link>等标签中发送第三方Cookie的。当前的主流浏览器中，默认会拦截Third-party Cookie的有：IE6~8、Safari，不会拦截的有：Firefox、Opera、Chrome等。只有GET请求么？在CSRF攻击流行之初，有一种错误的观点认为CSRF攻击只能由GET发起，这种错误观点的形成原因是大多数CSRF攻击发起时，使用的HTML标签都是<img>、<iframe>、<script>等带src属性的标签，这列标签只能够发起一次GET请求，而不能发起POST请求。然而，对于攻击者来说，有若干种方法可以构造出一个POST请求。最简单的方法就是在一个页面中构造好一个form表单，然后使用javascript自动提交这个表单。<img src="/uploadfile/2018/0119/20180119600212.jpg" title="web安全问题 csrf攻击怎么防御？" alt="web安全问题 csrf攻击怎么防御？" width="550" height="210" border="0" vspace="0" style="width: 550px; height: 210px;"/>CSRF防御验证码验证码是对抗CSRF攻击最简单有效地防御方法。CSRF攻击往往是在用户不知情的情况下构造了网络请求。而验证码则强制用户必须与应用进行交互，才能完成最终请求。但是验证码并不是万能的，我们不可能给页面的所有操作都加上验证码。Referer CheckReferer Check在互联网中最常见的应用就是“防止图片盗链”。同理，Referer Check也可以被用于检查请求是否来自合法的源。Anti CSRF TokenCSRF攻击存在的本质原因还是网页中重要操作的所有参数都是可以被攻击者猜测到的。攻击者只有预测出url所有参数与参数值，才能成功地构造一个伪造的请求。所以我们可以通过把参数加密，或者使用一些随机数，从而让攻击者无法猜测到参数值。我们可以给请求新增加一个token，这个token值是随机的。http://host/path/delete?username=abc&item=123&token=[random(seed)]由于token的存在，攻击者就无法再构造出一个完整的url来实施CSRF攻击了。总结以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作能带来一定的帮助，如果有疑问大家可以留言交流，谢谢大家对驱动管家的支持。" _ue_custom_node_="true"></div>

ripper病毒怎么删除？U盘里的ripper病毒无法删除怎么办？
电脑，软件DiskGenius下载地址：softs 19980 html1、打开DiskGenius软件，左面找到你的U盘，选定它。2、单击上方的‘硬盘’选项。3、选择其中的‘重建主引导记录’4、选择其中的‘清除
详情2018-01-15 19:00:15责编：llp 来源：驱动管家
木马捆绑器有哪些？什么是资源包裹捆绑器？
一、传统的捆绑器这种原理很简单，也是目前用的最多的一种。就是将B exe附加到A exe的末尾。这样当A exe被执行的时候，B exe也跟着执行了。这种捆绑器的代码是满网都是。我最早是从jingtao的一篇关于流的文章中得
详情2018-01-19 13:32:37责编：llp 来源：驱动管家
mcafee企业版8.8怎么设置规则防范病毒？
McAfee大企业版规则之强，天诺时空现有规则之厉，相信大家已有所见闻与实践。但是否真的滴水不漏、固若金汤，相信谁也不敢妄言。本教程力图充分利用咖啡规则现有语法特点，引导有一定基础的新手和有兴趣的朋友构
详情2018-01-21 09:02:39责编：llp 来源：驱动管家
关闭135 445端口该怎么做？关闭135 445端口的步骤
135端口主要用于使用RPC（RemoteProcedureCall，远程过程调用）协议并提供DCOM（分布式组件对象模型）服务。端口说明：135端口主要用于使用RPC（RemoteProcedureCall，远程过程调用）协议并提供DCOM（分布式组件
详情2018-01-14 14:03:30责编：llp 来源：驱动管家
什么是ipc？什么是空会话？
ipc$一摘要网上关于 ipc$入侵的文章可谓多如牛毛，攻击步骤甚至已经成为了固化的模式，因此也没人愿意再把这已经成为定式的东西拿出来摆弄。不过话虽这样说，我认为这些文章讲解的并不详细，一些内容甚至是错
详情2018-01-05 09:04:38责编：llp 来源：驱动管家
win7系统如何隐藏文件夹？创建带密码隐藏文件夹
Win7系统下如何创建带密码隐藏的文件夹保护个人隐私文件，按以下步骤进行操作：1、首先创建一个文件夹，并命名为“隐藏文件”;2、然后打开该文件夹，然后在窗口空白处右击鼠标选择“新建→ 文本文档”命令创
详情2018-01-19 10:19:55责编：llp 来源：驱动管家
电子邮件怎么加密？电子邮件有哪些加密方法？
针对电子邮件的犯罪案件越来越多，用户在享受电子邮件快捷便利的服务同时还要承受邮件泄密带来的后果，有些邮件泄密后果并不严重、有些却是灾难性的。为了提高邮件信息的安全性，目前有效的方法是进行邮件加密，
详情2018-01-08 16:02:57责编：llp 来源：驱动管家
破解rar密码有什么方法？可以使用rar password cracker软件破解rar密码
当一个非常重要的RAR文件因为忘记密码无法解压缩时，你是不是就这样抛弃它了呢？当然不是，你可以使用RAR Password Cracker这个软将加密的RAR文件破解出来。安装后运行程序里的RAR Password Cracker Wizard
详情2018-01-14 14:03:37责编：llp 来源：驱动管家
无线数据加密的原理是什么？无线数据加密的方法
你肯定不会设计一个没有防火墙的互联网接入的网络。因此，你怎么会架设一个没有加密的无线网络？理解无线加密对于部署一个安全的无线网络是非常重要的。无线传输的安全类似于一个书面信息。有各种各样的方法来发
详情2018-01-02 22:38:07责编：llp 来源：驱动管家
怎么改ip地址？改ip地址的具体步骤
第一步：右键点击桌面“网络”，单击“属性”，出现如下“网络和共享中心”。（图 1）第二步：在对应的网络连接右边点击“查看状态”。（也可以点击“管理网络连接”，如果您是通过有线的方式连接路由器，右键单
详情2018-01-06 17:39:19责编：llp 来源：驱动管家