CSRF 攻擊深入淺出

CSRF（XSRF）中文名為跨站請求偽造，OWASP Top 10 常見 web 漏洞之一。與 XSS 不同的是，其攻擊形式為:使用者首先登入一正常網站（Normal Website），正常網站向使用者瀏覽器響應 cookie 資訊，此時使用者還保持在會話連線狀態未對登入狀態進行登出。預設情況下，使用者關閉瀏覽器則 cookie 資訊將被清除，不過可以通過修改 Cookie 的 expires 屬性來設定其有效期。然後使用者又開啟瀏覽器另一標籤頁（tab）訪問了一個惡意網站（Malicious Website），Malicious Website 會自動構造指向 Normal Website 的惡意 HTTP 請求(增刪改您的重要資訊)。

在實際專案開發工作中，除了一些資深開發工程師，大部分程式設計師對 CSRF 的認識是有很大侷限性的，究其原因主要還是對其具體攻擊形式與原理理解還不夠深入。CSRF 攻擊形式其實很簡單，正因為它的簡單反而容易被人忽視，因此它的危害非常巨大。本場 Chat 我將分享：

1. CSRF 原理
2. CSRF 攻擊方式(案列分析)
3. CSRF 防禦方式(前後端分離場景下)
4. CSRF 的 Token 安全性分析
5. CSRF 與 XSS 的區別

閱讀全文: http://gitbook.cn/gitchat/activity/5a0ba347e1f755571483ea5a

一場場看太麻煩？成為 GitChat 會員，暢享 1000+ 場 Chat ！點選檢視