渗透测试自学系列—CSRF跨站请求伪造 攻击及防御

Posted 2022-01-07 LexSaints

目录

4.3. CSRF

4.3.1. 简介

4.3.2. 分类

4.3.2.1. 资源包含

4.3.2.2. 基于表单

4.3.2.3. XMLHttpRequest

4.3.3. 防御

4.3.4. 参考链接

---

4.3. CSRF

4.3.1. 简介

跨站请求伪造 (Cross-Site Request Forgery, CSRF)，也被称为 One Click Attack 或者 Session Riding ，通常缩写为CSRF，是一种对网站的恶意利用。尽管听起来像XSS，但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。

4.3.2. 分类

4.3.2.1. 资源包含

资源包含是在大多数介绍CSRF概念的演示或基础课程中可能看到的类型。这种类型归结为控制html标签（例如<image>、<audio>、<video>、<object>、<script>等）所包含的资源的攻击者。如果攻击者能够影响URL被加载的话，包含远程资源的任何标签都可以完成攻击。

由于缺少对Cookie的源点检查，如上所述，此攻击不需要XSS，可以由任何攻击者控制的站点或站点本身执行。此类型仅限于GET请求，因为这些是浏览器对资源URL唯一的请求类型。这种类型的主要限制是它需要错误地使用安全的HTTP请求方式。

4.3.2.2. 基于表单

通常在正确使用安全的请求方式时看到。攻击者创建一个想要受害者提交的表单; 其包含一个javascript片段，强制受害者的浏览器提交。

该表单可以完全由隐藏的元素组成，以致受害者很难发现它。

如果处理cookies不当，攻击者可以在任何站点上发动攻击，只要受害者使用有效的cookie登录，攻击就会成功。如果请求是有目的性的，成功的攻击将使受害者回到他们平时正常的页面。该方法对于攻击者可以将受害者指向特定页面的网络钓鱼攻击特别有效。

4.3.2.3. XMLHttpRequest

XMLHttpRequest可能是最少看到的方式，由于许多现代Web应用程序依赖XHR，许多应用花费大量的时间来构建和实现这一特定的对策。

基于XHR的CSRF通常由于SOP而以XSS有效载荷的形式出现。没有跨域资源共享策略 (Cross-Origin Resource Sharing, CORS)，XHR仅限于攻击者托管自己的有效载荷的原始请求。

这种类型的CSRF的攻击有效载荷基本上是一个标准的XHR，攻击者已经找到了一些注入受害者浏览器DOM的方式。

4.3.3. 防御

• 通过CSRF-token或者验证码来检测用户提交
• 验证 Referer/Content-Type
• 对于用户修改删除等操作最好都使用POST操作
• 避免全站通用的Cookie，严格设置Cookie的域

4.3.4. 参考链接

• demo
• Wiping Out CSRF
• Neat tricks to bypass CSRF protection

 【渗透测试相关工具下载】

brutecrack工具[WIFIPR中文版]及wpa/wpa2字典

brutecrack工具[WIFIPR中文版]及wpa/wpa2字典_wifipr-其它文档类资源-CSDN下载

Kali字典文件/纯数字/电话号码/弱/常用/Wifi等各种类型字典【解压后共计60G+字典文件】

Kali字典文件/纯数字/电话号码/弱/常用/Wifi等各种类型字典【解压后共计60G+字典文件】_kali字典下载-系统安全文档类资源-CSDN下载

【kali常用工具】brutecrack工具[WIFIPR中文版]及wpa/wpa2字典
brutecrack工具[WIFIPR中文版]及wpa/wpa2字典_wifipr-其它文档类资源-CSDN下载

【kali常用工具】EWSA 5.1.282-破包工具
【kali常用工具】EWSA5.1.282-破包工具_linux跑包工具-管理软件文档类资源-CSDN下载

【kali常用工具】Realtek 8812AU KALI网卡驱动及安装教程
【kali常用工具】Realtek8812AUKALI网卡驱动及安装教程_kalirtl8812au-网络设备文档类资源-CSDN下载

【kali常用工具】无线信号搜索工具_kali更新
【kali常用工具】无线信号搜索工具_kali更新_kali更新-互联网文档类资源-CSDN下载

【kali常用工具】MAC地址修改工具 保护终端不暴露
【kali常用工具】MAC地址修改工具保护终端不暴露_mac修改工具下载-Linux文档类资源-CSDN下载

【kali常用工具】脚本管理工具 php和jsp页面 接收命令参数 在服务器端执行
脚本管理工具php和jsp页面接收命令参数在服务器端执行_搜索引擎语法lexsaints-网络安全文档类资源-CSDN下载

【kali常用工具】上网行为监控工具       
上网行为工具_搜索引擎语法lexsaints-网络安全文档类资源-CSDN下载

【kali常用工具】抓包工具Charles Windows64位 免费版
抓包工具CharlesWindows64位免费版_charleswindows-网络监控文档类资源-CSDN下载

【kali常用工具】图印工具stamp.zip
图印工具stamp.zip_搜索引擎语法lexsaints-制造文档类资源-CSDN下载

推荐阅读

python及安全系列

【python实战】女友半夜加班发自拍 python男友用30行代码发现惊天秘密

【渗透案例】上班摸鱼误入陌生网址——结果被XSS劫持了

【渗透测试】python你TM太皮了——区区30行代码就能记录键盘的一举一动

【渗透实战】女神相册密码忘记了，我只用Python写了20行代码~~~

【渗透测试】密码暴力破解工具——九头蛇（hydra）使用详解及实战

【渗透学习】Web安全渗透详细教程+学习线路+详细笔记【全网最全+建议收藏】

【渗透案例】如何用ssh工具连接前台小姐姐的“小米手机”——雷总看了直呼内行！！！

【渗透测试】密暴力破解工具——九头蛇（hydra）使用详解及实战

pygame系列文章

一起来学pygame吧 游戏开发30例（二）——塔防游戏

一起来学pygame吧 游戏开发30例（四）——俄罗斯方块小游戏

一起来学pygame吧 游戏开发30例（五）——消消乐 小游戏

一起来学pygame吧 游戏开发30例（六）——高山滑雪 小游戏

 CSDN官方学习推荐 ↓ ↓ ↓ 

CSDN出的Python和Java的全栈知识图谱，太强了，推荐给大家！

更多渗透测试技术请关注 ↓  ↓  ↓