注销哈希，它们是如何处理的？

Posted 2023-02-25

【中文标题】注销哈希，它们是如何处理的？

【英文标题】：Logout hashes, how are they handled?

【发布时间】：2011-04-04 00:04:02

【问题描述】：

在 php 中通常处理注销哈希的方式是什么？

在很多网站上，通常都有注销哈希来确认注销的用户是正确的用户，这通常是如何处理的？

例子

http://domain.com/user/logout/nil4ytwojytjwoytjwy5tw5

nil4ytwojytjwoytjwy5tw5 是哈希

---

只是更新我的研究，以便其他人可以看到它是如何工作的。

我发现这种类型的攻击主要用于 xero-byte 图像和 iframe 本身。

如果您登录了站点 A 并且还浏览了站点 B，站点 B 可以放置一个图片标签：

<img src="http://SITE_A.com/logout/"   style="display:none" />

因为请求实际上来自合法登录用户，所以请求被处理。

通过在重要的表单中添加验证值，例如转账、注销等，黑客无法获取该值，因此请求不会被执行！

感谢您的帮助

【参考方案1】：

这是给Stop CSRF。该值是“csrf 令牌”，它是存储为会话变量的加密随机数（随机数）。检查以确保请求来自同一站点，而不是来自攻击者的站点。

【讨论】：

所以与常规表单验证哈希没有区别？

@RobertPitt 不应该，随机值是使用消息摘要函数还是通过其他方式生成的都没关系。实际上它可能是不同基数的哈希，它看起来并不随机它有很多重复字符......

CSRF 是否与会话劫持有关？如果是这样，我已经实施了会话劫持预防策略！ - 你有任何关于如何完成 CSRF 的指南，所以我可以更好地理解它吗？

@RobertPitt 不，我认为它们是不同的。 OWASP 也将它们分开。会话劫持更​​多的是获取受害者的会话 ID 并使用它进行身份验证。 CSRF 正在强制受害者的浏览器向您发出请求。首先我会阅读 Google 浏览器安全手册，然后我会阅读关于这些攻击的 OWASP 页面。

非常感谢您的帮助，我支持 google 的 chrome 手册将是一个很好的开始