欧美极品jizzhd欧美,91精品久久一区二区三区,欧美乱妇无乱码大黄a片,欧美日韩国产一区在线看

一、CSRF介紹

CSRF(Cross-site request forgery)

跨站請(qǐng)求偽造，也被稱為“OneClick Attack”或者Session Riding，通�？s寫(xiě)為CSRF或者XSRF，是一種對(duì)網(wǎng)站的惡意利用。

上圖為CSRF攻擊的一個(gè)簡(jiǎn)單模型，用戶訪問(wèn)惡意網(wǎng)站B，惡意網(wǎng)站B返回給用戶的HTTP信息中要求用戶訪問(wèn)網(wǎng)站A，而由于用戶和網(wǎng)站A之間可能已經(jīng)有信任關(guān)系導(dǎo)致這個(gè)請(qǐng)求就像用戶真實(shí)發(fā)送的一樣會(huì)被執(zhí)行。

二、CSRF攻擊的危害

攻擊者盜用了你的身份，以你的名義發(fā)送惡意請(qǐng)求，對(duì)服務(wù)器來(lái)說(shuō)這個(gè)請(qǐng)求是完全合法的，但是卻完成了攻擊者所期望的一個(gè)操作，比如以你的名義發(fā)送郵件、發(fā)消息，盜取你的賬號(hào)，添加系統(tǒng)管理員，甚至于購(gòu)買商品、虛擬貨幣轉(zhuǎn)賬等。

如果CSRF發(fā)送的垃圾信息還帶有蠕蟲(chóng)鏈接的話，那些接收到這些有害信息的好友萬(wàn)一打開(kāi)私信中的連接就也成為了有害信息的散播著，這樣數(shù)以萬(wàn)計(jì)的用戶被竊取了資料種植了木馬。整個(gè)網(wǎng)站的應(yīng)用就可能在瞬間奔潰，用戶投訴，用戶流失，公司聲譽(yù)一落千丈甚至面臨倒閉。曾經(jīng)在MSN上，一個(gè)美國(guó)的19歲的小伙子Samy利用css的background漏洞幾小時(shí)內(nèi)讓100多萬(wàn)用戶成功的感染了他的蠕蟲(chóng)，雖然這個(gè)蠕蟲(chóng)并沒(méi)有破壞整個(gè)應(yīng)用，只是在每一個(gè)用戶的簽名后面都增加了一句“Samy 是我的偶像”，但是一旦這些漏洞被惡意用戶利用，后果將不堪設(shè)想，同樣的事情也曾經(jīng)發(fā)生在新浪微博上面。

如下：其中Web A為存在CSRF漏洞的網(wǎng)站，Web B為攻擊者構(gòu)建的惡意網(wǎng)站，User C為Web A網(wǎng)站的合法用戶。

三、CSRF攻擊原理及過(guò)程

1 、用戶C打開(kāi)瀏覽器，訪問(wèn)受信任網(wǎng)站A，輸入用戶名和密碼請(qǐng)求登錄網(wǎng)站A;

2、在用戶信息通過(guò)驗(yàn)證后，網(wǎng)站A產(chǎn)生Cookie信息并返回給瀏覽器，此時(shí)用戶登錄網(wǎng)站A成功，可以正常發(fā)送請(qǐng)求到網(wǎng)站A;

3、用戶未退出網(wǎng)站A之前，在同一瀏覽器中，打開(kāi)一個(gè)TAB頁(yè)訪問(wèn)網(wǎng)站B;

4、網(wǎng)站B接收到用戶請(qǐng)求后，返回一些攻擊性代碼，并發(fā)出一個(gè)請(qǐng)求要求訪問(wèn)第三方站點(diǎn)A;

5.、瀏覽器在接收到這些攻擊性代碼后，根據(jù)網(wǎng)站B的請(qǐng)求，在用戶不知情的情況下攜帶Cookie信息，向網(wǎng)站A發(fā)出請(qǐng)求。網(wǎng)站A并不知道該請(qǐng)求其實(shí)是由B發(fā)起的，所以會(huì)根據(jù)用戶C的Cookie信息以C的權(quán)限處理該請(qǐng)求，導(dǎo)致來(lái)自網(wǎng)站B的惡意代碼被執(zhí)行。

盛網(wǎng)科技http://www.33ol.com/，服務(wù)器租用/托管，高性能，高配置，高防護(hù)，高獨(dú)享7x24小時(shí)售后服務(wù)，定制屬于你的專屬服務(wù)器。QQ：724015997企業(yè)Q：4000900901電話：13924367540