對CSRF的簡單理解
CSRF(Cross-site request forgery,跨域請求偽造)
文章目錄
前言
CSRF是一種安全問題:攻擊者盜用你的身份(客戶端獲取的cookie)想第三方網站傳送請求,進行非法操作。
一、CSRF的過程
以訪問銀行網站為例:
- 使用者User訪問銀行網站,登入成功後,客戶端生成相應cookie。
- 在User未登出的情況下訪問了危險網站B,在網站B中觸發了一個請求,如點選圖片,該圖片src向銀行發起轉賬請求。由於User未登出,在網站B向銀行傳送請求時,會攜帶cookie。
- 銀行後臺響應請求,完成非法操作。
二、如何防禦CSRF攻擊
1.驗證 HTTP Referer
欄位
HTTP Referer
欄位它記錄了該 HTTP 請求的來源地址。伺服器端可以驗證請求的來源,若同源則響應。但是,HTTP Referer
欄位可以被修改,因此並不安全。
2.使用驗證碼
在客戶端使用驗證碼可以有效防止CSRF攻擊。
3.使用token驗證
這個Token的值必須是隨機的。由於Token的存在,攻擊者無法再構造一個帶有合法Token的請求實施CSRF攻擊。
相關文章
- 簡單的csrf漏洞
- 談一談對vuex的簡單理解Vue
- 對CAS演算法的簡單理解演算法
- 我對微服務架構的簡單理解微服務架構
- CSRF簡單介紹及利用方法
- 談一談對vue-router的簡單理解Vue
- ThreadLocal的簡單理解thread
- ElasticSearch學習筆記(二)——對聚合的簡單理解Elasticsearch筆記
- 對於前端安全,你瞭解多少?說說你對XSS和CSRF的理解前端
- 簡述對Vuex的理解Vue
- 對於ambari-collector 部分原始碼流程的簡單理解原始碼
- Java的簡單理解(2)Java
- PHP socket 的簡單理解PHP
- MongoDB索引的簡單理解MongoDB索引
- 快速排序的簡單理解排序
- 簡單理解promisePromise
- EJB簡單理解
- Restful簡單理解REST
- BFC簡單理解
- 關於BFC的簡單理解
- Object.keys()的簡單理解Object
- vue cli 3的簡單理解Vue
- 簡單的理解 Object.defineProperty()Object
- 氣泡排序的簡單理解排序
- 選擇排序的簡單理解排序
- 歸併排序的簡單理解排序
- 基數排序的簡單理解排序
- 關於RabbitMQ的簡單理解MQ
- 簡單理解OAuth 2.0OAuth
- 插值查詢的簡單理解
- 簡單理解flex佈局Flex
- node.js簡單理解Node.js
- java介面和抽象類的簡單理解Java抽象
- Java的簡單理解(22)---處理流Java
- 二分查詢的簡單理解
- 關於JDK15的簡單理解JDK
- 簡單理解DNS解析流程(一)DNS
- 簡單理解同步與非同步非同步