目录介绍：
什么是 CSRF 攻击，如何避免？
CSRF：Cross-Site Request Forgery（中文：跨站请求伪造），可以理解为攻击者盗用了你的身份，以你的名义发送恶意请求，比如：以你名义发送邮件、发消息、购买商品，虚拟货币转账等。
防御手段：
验证请求来源地址；
关键操作添加验证码；
在请求地址添加 token 并验证。
表单、AJAX 提交必须执行 CSRF 安全验证
[CSRF 百度百科]（ ）
CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（ XSS ），但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与 XSS 攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比 XSS 更具危险性。
Thanks ~
CSRF攻击
除了XSS攻击外，还有一种叫CSRF的攻击不容小视。
什么是CSRF攻击呢？
与XSS攻击的不同之处在于，CSRF攻击不需要往用户的页面中注入恶意脚本。
常见的CSRF攻击有 自动发起get请求 ， 自动发起post请求 ， 诱导用户点击链接 三种方式。
在一个 img 标签里构建一个 get 请求，当页面被加载时，浏览器便会自动发起一个 get 请求。
img src=""
在页面中隐藏一个表单，当用户打开页面时，自动提交这个表单。
如：
在 a 标签的 href 属性里构建一个请求，然后诱导用户去点击。
如何防止CSRF攻击呢？
发起CSRF攻击有两个条件，分别是用户登录了目标站点，且浏览器保留了用户的登录状态；用户打开了第三方站点。
攻击者会利用登录状态来发起CSRF攻击，而 Cookie 是保持登录状态的关键数据，所以，可以在 Cookie 上想办法防止CSRF攻击。
在 Cookie 中加入 sameSite 属性，samesite有三种值。
服务端验证请求源，如果请求来自非指定源，则服务端不做响应。
浏览器向服务端发送请求时，服务端生成一个 CSRF Token ，并将它植入到返回的页面中。当再次发起请求时，就需要携带这个 CSRF Token ，如果没有这个token，则请求失败。
CSRF(跨站请求伪造)
2021-11-24
跨站点请求伪造(Cross—Site Request Forgery)，伪装来自受信任用户的请求来利用受信任的网站。简单来说CSRF就是获取凭证伪造身份去做事。
详细点说：假如A网站中存在CSRF漏洞，攻击者构造一个利用的POC，发送给受害者(在浏览器中处于登陆状态)，让受害者点击POC，导致受害者在A网站上的的资料被修改或者钱财被转移。
所有用户进行操作的位置都可能存在CSRF，修改信息、密码、头像。
1.利用浏览器中缓存的cookie
2.没有一次型的token验证
1.修改受害者的一些资料、转账或者改密码
2.如果获取到应用程序中的管理员cookie，攻击者完全可以控制应用的所有数据和功能
1.资源包含
资源包含是在大多数介绍CSRF概念的演示或基础课程中可能看到的类型。这种类型归结为控制HTML标签（例如image、audio、video、object、script等）所包含的资源的攻击者。如果攻击者能够影响URL被加载的话，包含远程资源的任何标签都可以完成攻击。
2.基于表单
通常在正确使用安全的请求方式时看到。攻击者创建一个想要受害者提交的表单; 其包含一个JavaScript片段，强制受害者的浏览器提交。
3.XMLHttpRequest
基于XHR的CSRF通常由于SOP而以XSS有效载荷的形式出现。没有跨域资源共享策略 (Cross-Origin Resource Sharing, CORS)，XHR仅限于攻击者托管自己的有效载荷的原始请求。
通过CSRF-token或者验证码来检测用户提交
验证 Referer/Content-Type
对于用户修改删除等操作最好都使用POST操作
避免全站通用的Cookie，严格设置Cookie的域
1.跨账户使用令牌
2.替换相同的长度
3.从请求中删除csrf token
4.解码CSRF token
5.通过HTML提取CSRF token
6.只使用token的静态部分
参考链接：
Web常用攻击手段-CSRF攻击
上一篇 Web常用攻击手段-Http请求防盗链
下一篇 Web常用攻击手段-上传文件漏洞
CSRF攻击： （Cross Site Request Forgery, 跨站域请求伪造），黑客通过抓包工具分析令牌、cookie等信息并伪造客户请求。
就是大家熟知的钓鱼网站。
相关文章链接：
Web常用攻击手段-XSS攻击
Web常用攻击手段-SQL注入
Web常用攻击手段-Http请求防盗链
Web常用攻击手段-上传文件漏洞
Web常用攻击手段-忘记密码
Web常用攻击手段-其他漏洞
安全技术--数据加密/认证技术
安全技术--Https相关知识
安全技术--接口幂等性设计
安全框架--SpringSecurity
安全框架--JWT
安全框架--OAuth2
安全架构整体设计方案
网友评论
最新评论
取到应用程序中的管理员cookie，攻击者完全可以控制应用的所有数据和功能 1.资源包含 资源包含是在大多数介绍CSRF概念的演示或基础课程中可能看到的类型。这种类型归结为控制HTML标签（例如i