- 综合排序
- 最热优先
- 最新优先
- 来自专栏coding个人笔记
CSRF攻击
CSRF叫做跨站请求伪造攻击，也有叫XSRF的，其实都差不多，你也可以认为是XSS和CSRF的结合。对于这个攻击原本我是不怎么理解的，写了个接口，然后试了一下，直接就发起了请求。 2、如果后台是POST接口，校验数据用的也是post才能获取参数，不安全网站B可以通过ifram嵌入安全网站A，然后通过form表单提交请求。 这是一般我们认知的简单CSRF，有资料说，可以触发请求的方法达到了几百种，单单HTML就有196种。 还有什么PDF JavaScript、ServiceWorkers等奇奇怪怪的方法去进行XSRF攻击。 虽然不知道CSRF攻击是不是真的那么简单，突然发现自己做过的项目好像并没有想象中的那么安全，感觉随便都能被攻击了。 （完）
1.6K30发布于 2020-04-23 - 来自专栏编程微刊
什么是 CSRF 攻击？如何防止 CSRF 攻击？
CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种常见的网络安全攻击方式，攻击者利用用户已经通过认证的身份在受信任网站上执行未经用户授权的操作。 CSRF 攻击的一般过程如下： 用户登录受信任网站 A，并在浏览器中保持了登录状态。 用户访问恶意网站 B。 为了防止 CSRF 攻击，可以采取以下几种措施： 同源策略：浏览器的同源策略限制了从一个源加载的文档或脚本如何与来自另一个源的资源进行交互。跨域请求将受到限制，从而降低了 CSRF 攻击的风险。 攻击者无法获取到有效的令牌，因此无法成功发起 CSRF 攻击。 验证码：要求用户在敏感操作之前输入验证码，确保用户的主动参与，从而防止自动化的 CSRF 攻击。 综合采用以上多种防御措施可以有效地降低 CSRF 攻击的风险，开发人员在设计和开发应用时应该充分考虑到这些安全问题，并采取适当的防护措施。
1.2K10编辑于 2025-05-25 - 来自专栏call_me_R
CSRF 攻击案例
CSRF 是什么 CSRF 是 Hacker 利用用户登录的身份凭证（即伪造），通过在用户不知知情的情况下（即跨过）发送恶意请求和执行未经授权的操作。 CSRF 即 Cross-Site Request Forgery，跨站请求伪造。 我们可以试想这么一个例子： 你将私房钱放在了保险箱里面，保险箱只能通过你的拇指指纹才可以打开。 CSRF 攻击案例 下面，我们来简单演示下 CSRF 攻击，先做点前期准备。 在登陆的情况下进行转账攻击。 参考 零基礎資安系列（一）-認識 CSRF（Cross Site Request Forgery） Cross site request forgery (CSRF) attack
65720编辑于 2023-10-16 - 来自专栏Vincent-yuan
CSRF 攻击详解
CSRF的中文名称尽管听起来像跨站脚本攻击（XSS），但它与XSS非常不同，并且攻击方式几乎相左。 XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来攻击受信任的网站。 CSRF攻击的流程 CSRF攻击攻击原理及过程如下： 用户C打开浏览器，访问受信任网站A，输入用户名和密码请求登录网站A； 在用户信息通过验证后，网站A产生Cookie信息并返回给浏览器，此时用户登录网站 如果修改后的测试请求成功被网站服务器接受，则说明存在CSRF漏洞，当然此款工具也可以被用来进行CSRF攻击。 预防CSRF攻击 1. 事实上，对于某些浏览器，比如 IE6 或 FF2，目前已经有一些方法可以篡改 Referer 值。 验证Referer方式总结 优点：使用方便，开发简单，一定程度上能预防CSRF攻击； 缺点：这种机制完全依托于浏览器，Referer字段容易被故意篡改，或者被禁用。 2.
4.1K20编辑于 2022-05-06 - 来自专栏一名白帽的成长史
【CSRF】通过DVWA教你学会CSRF攻击
Hello 各位小伙伴大家好 今天还是一起来看看，什么是CSRF攻击吧... Part.1 什么是CSRF攻击？ Part.2 CSRF攻击过程还原 攻击流程还原 依然是我们非常好用的DVWA平台，安全级别为Low，选择CSRF页面。 ? 是一个给我们修改用户密码的页面，为什么存在CSRF漏洞呢？ 假设第二个URL是攻击者恶意发送给用户的，用户一旦在cookie没过期的情况下点击了，那密码不久被攻击者修改了吗？ 这就是一个简单的CSRF攻击，这下明白了吗？ 结合存储型XSS进行攻击 方法三：结合存储型XSS进行攻击 我们也可以结合存储型XSS漏洞进行攻击，将CSRF代码写入XSS注入点中，如下： ? Referer字段验证 攻击方式我们都知道了，但是怎么来防护CSRF攻击呢?
2K20发布于 2019-10-08 - 来自专栏Pycharm
CSRF攻击原理场景
CSRF攻击：CSRF攻击概述：CSRF（Cross Site Request Forgery, 跨站域请求伪造）是一种网络的攻击方式，它在 2007 年曾被列为互联网 20 大安全隐患之一。 其他安全隐患，比如 SQL 脚本注入，跨站域脚本攻击等在近年来已经逐渐为众人熟知，很多网站也都针对他们进行了防御。然而，对于大多数人来说，CSRF 却依然是一个陌生的概念。 即便是大名鼎鼎的 Gmail, 在 2007 年底也存在着 CSRF 漏洞，从而被黑客攻击而使 Gmail 的用户造成巨大的损失。CSRF攻击原理：网站是通过cookie来实现登录功能的。 防御CSRF攻击：CSRF攻击的要点就是在向服务器发送请求的时候，相应的cookie会自动的发送给对应的服务器。造成服务器不知道这个请求是用户发起的还是伪造的。 在Django中，如果想要防御CSRF攻击，应该做两步工作。第一个是在settings.MIDDLEWARE中添加CsrfMiddleware中间件。
1.3K40编辑于 2022-07-20 - 来自专栏老铁丁D
CSRF攻击与防御
漏洞修复 CSRF攻击原理 由上图分析我们可以知道构成CSRF攻击是有条件的： 1、客户端必须一个网站并生成cookie凭证存储在浏览器中 2、该cookie没有清除，客户端又tab一个页面进行访问别的网站 toUserId=11&vMoney=1000 此时恶意攻击者的网站也构建一个相似的链接： 1、可以是采用图片隐藏，页面一打开就自动进行访问第三方文章：
2、也可以采用 ，伪造一个form表单即可破解 2、使用验证码，只要是涉及到数据交互就先进行验证码验证，这个方法可以完全解决CSRF。 当然这个token仅仅只是针对CSRF攻击，在这前提需要解决好XSS攻击，否则这里也将会是白忙一场【XSS可以偷取客户端的cookie】） CSRF攻击之所以能够成功，是因为攻击者可以伪造用户的请求 浅谈CSRF攻击方式
1.6K20编辑于 2022-08-12 - 来自专栏HACK学习
CSRF攻击与防御
CSRF概念：CSRF跨站点请求伪造(Cross—Site Request Forgery)，跟XSS攻击一样，存在巨大的危害性，你可以这样来理解： 攻击者盗用了你的身份，以你的名义发送恶意请求 如下：其中Web A为存在CSRF漏洞的网站，Web B为攻击者构建的恶意网站，User C为Web A网站的合法用户。 ? CSRF攻击攻击原理及过程如下： 1. account=bob&amount=1000000&for=bob2 可以使 Bob 把 1000000 的存款转到 bob2 的账号下。 防御CSRF攻击： 目前防御 CSRF 攻击主要有三种策略：验证 HTTP Referer 字段；在请求地址中添加 token 并验证；在 HTTP 头中自定义属性并验证。 （2）在请求地址中添加 token 并验证 CSRF 攻击之所以能够成功，是因为黑客可以完全伪造用户的请求，该请求中所有的用户验证信息都是存在于 cookie 中，因此黑客可以在不知道这些验证信息的情况下直接利用用户自己的
1.5K20发布于 2019-08-07 - 来自专栏全栈程序员必看
CSRF——攻击与防御
CSRF——攻击与防御 author: lake2 0x01 什么是CSRF攻击 CSRF是Cross Site Request Forgery的缩写（也缩写为XSRF），直译过来就是跨站请求伪造的意思 这就是传说中的CSRF攻击了。 想一想，当我们用鼠标在Blog/BBS/WebMail点击别人留下的链接的时候，说不定一场精心准备的CSRF攻击正等着我们。 0x03 发起CSRF攻击 从第三方网站利用POST发动CSRF攻击就是利用Javascript自己主动提交表单到目标CGI。 lake2=http://www.0x54.org/a.asp&a=123&b=321&c=%26%23%25（这里要自己考虑URL编码哦） 只是实际攻击的时候你得动动脑子：怎样才干把用户诱骗到我们的网页来
90740编辑于 2022-07-05 - 来自专栏同步博客
CSRF攻击与防御
相比于XSS，CSRF是利用了系统对页面浏览器的信任，XSS则利用了系统对用户的信任。 2、CSRF攻击原理 下面为CSRF攻击原理图： ? 由上图分析我们可以知道构成CSRF攻击是有条件的： 1、客户端必须一个网站并生成cookie凭证存储在浏览器中 2、该cookie没有清除，客户端又tab一个页面进行访问别的网站 3、CSRF例子与分析 也不是万能的，伪造一个form表单即可破解 2、使用验证码，只要是涉及到数据交互就先进行验证码验证，这个方法可以完全解决CSRF。 当然这个token仅仅只是针对CSRF攻击，在这前提需要解决好XSS攻击，否则这里也将会是白忙一场【XSS可以偷取客户端的cookie】） CSRF攻击之所以能够成功，是因为攻击者可以伪造用户的请求 《浅谈CSRF攻击方式》 2.
2K31发布于 2018-08-22 - 来自专栏前端儿
XSS 和 CSRF 攻击
要完成一次CSRF攻击，受害者必须依次完成两个步骤： 1.登录受信任网站A，并在本地生成Cookie。 2.在不登出A的情况下，访问危险网站B。 上面大概地讲了一下CSRF攻击的思想，下面我将用几个例子详细说说具体的CSRF攻击，这里我以一个银行转账的操作作为例子（仅仅是例子，真实的银行网站没这么傻:>） 示例1： 银行网站A，它以GET请求来完成银行转账的操作 只要触发了CSRF攻击，后果都有可能很严重。 而如果攻击者要对银行网站实施CSRF攻击，他只能在自己的网站构造请求，当用户通过攻击者的网站发送请求到银行时，该请求的Referer是指向攻击者的网站。 由此可知，抵御CSRF攻击的关键在于：在请求中放入攻击者所不能伪造的信息，并且该信息不存在于Cookie之中。
1.6K10发布于 2018-09-03 - 来自专栏字节脉搏实验室
CSRF攻击那点事
其实区别还是很大的，下面我给大家来讲讲CSRF的原理 ? 2.原理 （1）我们在讲原理之前，先来讲一个东西——‘’浏览器会话‘’，当你在一个网站上面登录了你的帐号，就会通过浏览器与网站成立一个会话。 而CSRF攻击正是建立在会话之上的。 ? （2）我们来举个小列子来更好的理解一个人叫XX，一个黑客叫BB。XX一天登陆了他的银行网站，并且建立了会话。 总结： 1.CSRF的攻击是建立在浏览器与Web服务器（网站）的会话中的 2.利用社会工程学欺骗用户访问URL 3.事例展示 www.111.com是全球最大的微博平台，一次偶然的机会，黑客Tom对微博的收听功能进行了抓包 4.检测CSRF漏洞 在检测CSRF漏洞的时候，首先要确定的是：CSRF只能通过用户的正规操作进行攻击，实际上就是在劫持用户操作。 简单总结一下，CSRF攻击就是建立在被害者与网站的会话之上，黑客使被害者点击构造好的链接，以被害者的身份向服务器提交请求，达到黑客的攻击目的。检测漏洞就是通过拦截HTTP请求来分析并且尝试。
73140发布于 2020-04-21 - 来自专栏webTower
CSRF攻击与防御
CSRF 攻击 跨站请求伪造（Cross-site request forgery）简称为 CSRF。 这种攻击方式很奇特，它是伪造用户的请求发动攻击的，在 CSRF 攻击过程中，用户往往在不知情的情况下构造了网络请求。 通过上面例子可以发现，CSRF 攻击可以利用表单提交、src 属性不受跨域限制发动攻击。用户往往在不知情的情况下，只是点了某个链接，就中招了。 CSRF 攻击危害很大，可能删除一篇博文也没什么，但是如果是发表评论，可能就会造成恶劣的影响，比如发表一些色情甚至反动的言论栽赃用户；银行的支付系统如果存在 CSRF 漏洞，很可能造成用户财务损失；CSRF 防范 CSRF 攻击 CSRF 攻击主要特征就是利用用户的登录态，在有登录状态网站时访问了恶意网站（用户并不清楚是不是恶意的），恶意网站利用 CSRF 漏洞伪装成用户发起了请求。
2.5K40发布于 2020-07-10 - 来自专栏糖果的实验室
CSRF攻击防御原理
Leafo老师基于Moonscript语言开发的WEB框架Lapis，框架中有一段针对CSRF（Cross—Site Request Forgery）的防护代码， 是一种基于围绕时间戳和签名验证的CSRF 跨站攻击的本质是， 攻击者拿着你的“身份凭证”，冒充你进行的相关攻击行为。 为了防止CSRF攻击，Token要求不能重复，需要含有时间戳信息。 下面的图描述了一个token的数据构成： Token的数据结构。 2.Token的加密。 首先，是按照合适得加密方法对数据进行加密。这里我们通用的就使用了sha256散列算法，然后进行BASE64的格式转换。 2.Lcrypt 这个包不是纯lua的实现，底层加密用的是C语言，而且额外还有依赖另外另个工具包 libTomCrypt和libTomMath，这两个包的官网已经被和谐了，github上有源码，所以要想让这个包正常运行需要手动
2.1K30发布于 2020-01-14 - 来自专栏京程一灯
实战：Express 模拟 CSRF 攻击
CSRF攻击 是前端领域常见的安全问题，概念方面不再赘述，可以参考维基百科。 对于这些概念，包括名词定义、攻击方式、解决方案等估计大家都看过不少，但留下印象总是很模糊，要动手操作一番才能加深印象并能真正理解，所以我决定动手实现一个 CSRF 的攻击场景，并通过演示的方式讲解 CSRF CSRF 攻击流程 CSRF 模拟攻击 CSRF 防范方法 CSRF 攻击流程 假设用户先通过 bank.com/auth 访问银行网站A的授权接口，通过认证后拿到A返回的 cookie: userId 这样就完成了一次基本的 CSRF 攻击。 CSRF 攻击流程图如下： ? 如果现在看不懂没关系，可以看完演示再回头看此图就会恍然大悟了。 CSRF 模拟攻击 首先通过 express 搭建后端，以模拟 CSRF 攻击。
1.7K10发布于 2021-02-25 - 来自专栏python成长之路
Flask模拟实现CSRF攻击
CSRF CSRF全拼为Cross Site Request Forgery，译为跨站请求伪造。 CSRF指攻击者盗用了你的身份，以你的名义发送恶意请求。 CSRF攻击示意图 客户端访问服务器时没有同服务器做安全验证 ? 防止 CSRF 攻击 步骤 在客户端向后端请求界面数据的时候，后端会往响应中的 cookie 中设置 csrf_token 的值 在 Form 表单中添加一个隐藏的的字段，值也是 csrf_token 的隐藏字段，而且浏览器有同源策略，网站B是获取不到网站A的 cookie 的，所以就解决了跨站请求伪造的问题 在 Flask 项目中解决 CSRF 攻击 在 Flask 中， Flask-wtf 扩展有一套完善的 label }} {{ form.password2 }}
{{ form.submit }} </form> 渲染出来的前端页面为： ?1.4K30发布于 2019-03-01 - 来自专栏Coxhuang
Web安全(三)---CSRF攻击
文章目录 CSRF攻击 #1 什么是CSRF攻击 #2 Cookie #3 浏览器的同源策略 #3 前后端分离项目如何避免CSRF攻击 #3.1 防御一 --- 验证码 #3.2 防御二 --- HTTP Referer #3.3 防御三 --- TOKEN CSRF攻击 #1 什么是CSRF攻击 CSRF跨站点请求伪造(Cross—Site Request Forgery) 攻击者盗用了你的身份 (TOKEN或Cookie等认证),以你的名义往服务器发请求,这个请求对于服务器来说是完全合法的,但是却完成了攻击者所希望的操作,而你全然不知,例如:以你的名义发送邮件,转账之类的操作 CSRF攻击过程 CSRF攻击实例 : 小明使用浏览器登录银行网站后,银行后台会返回一个Cookie并存到小明电脑的浏览器中,在这个Cookie还没有过期之前,小明点击了浏览器弹出的广告,此时跳转到另外一个网站A,网站 #2 Cookie 正常的CSRF攻击,攻击发送的请求默认会自动携带Cookie Cookie字段 含义 NAME=VALUE 赋予 Cookie 的名称和其值（必需项） expires=DATE
1.2K21发布于 2020-11-07 - 来自专栏原创分享
csrf攻击原理和防御
网站B: 点击cookie.php 上面的代码就是会发生csrf的网页代码，代码路径是在www.cyb.com/csrf.php。 下面讲一下过程，当用户登录网站A成功后，每次请求都会带上cookie的信息，如果这时候用户同时在同一个浏览器中打开网站B，而此时，网站B中含有一个链接，如果用户点击的话就会发生csrf攻击，因为用户点击这个 攻击的，因为cookie还没失效。 2 防御 除了在每个表单页面里加入hidden input外，还有一种利用csrfcode进行防御的方法，这种方法把csrfcode的相关数据放在cookie中，但并不是把csrfcode放到cookie 攻击防御。
2K20发布于 2019-03-06 - 来自专栏PHP修行之路
xss攻击和csrf攻击的定义及区别
1.CSRF的基本概念、缩写、全称 CSRF（Cross-site request forgery）：跨站请求伪造。 PS：中文名一定要记住。英文全称，如果记不住也拉倒。 2.CSRF的攻击原理 ? 从上图可以看出，要完成一次CSRF攻击，受害者必须满足两个必要的条件： （1）登录受信任网站A，并在本地生成Cookie。 3、CSRF如何防御 方法一、Token 验证：（用的最多） （1）服务器发送给客户端一个token； （2）客户端提交的表单中带着这个token。 2、过滤： 移除用户输入的和事件相关的属性。如onerror可以自动触发攻击，还有onclick等。 CSRF 和 XSS 的区别 区别一： CSRF：需要用户先登录网站A，获取 cookie。XSS：不需要登录。 区别二：（原理的区别） CSRF：是利用网站A本身的漏洞，去请求网站A的api。
1.5K20发布于 2019-09-11 - 来自专栏菜鸟成长学习笔记
xss攻击和csrf攻击的定义及区别
2.CSRF的攻击原理 ? 用户是网站A的注册用户，且登录进去，于是网站A就给用户下发cookie。 从上图可以看出，要完成一次CSRF攻击，受害者必须满足两个必要的条件： （1）登录受信任网站A，并在本地生成Cookie。 3、CSRF如何防御 方法一、Token 验证：（用的最多） （1）服务器发送给客户端一个token； （2）客户端提交的表单中带着这个token。 2、过滤： 移除用户输入的和事件相关的属性。如onerror可以自动触发攻击，还有onclick等。 CSRF 和 XSS 的区别 区别一： CSRF：需要用户先登录网站A，获取 cookie。XSS：不需要登录。 区别二：（原理的区别） CSRF：是利用网站A本身的漏洞，去请求网站A的api。
2.1K30发布于 2019-08-09
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号