• CSRF全拼为Cross Site Request Forgery，译为跨站请求伪造。
  • CSRF指攻击者盗用了你的身份，以你的名义发送恶意请求。
    • 包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账......
  • 造成的问题：个人隐私泄露以及财产安全。

  • CSRF攻击示意图

    • 客户端访问服务器时没有同服务器做安全验证

    防止 CSRF 攻击

    步骤

    1. 在客户端向后端请求界面数据的时候，后端会往响应中的 cookie 中设置 csrf_token 的值
    2. 在 Form 表单中添加一个隐藏的的字段，值也是 csrf_token
    3. 在用户点击提交的时候，会带上这两个值向后台发起请求
    4. 后端接受到请求，以会以下几件事件：
      • 从 cookie中取出 csrf_token
      • 从 表单数据中取出来隐藏的 csrf_token 的值
      • 进行对比
    5. 如果比较之后两值一样，那么代表是正常的请求，如果没取到或者比较不一样，代表不是正常的请求，不执行下一步操作

      代码演示

      未进行 csrf 校验的 WebA

      • 后端代码实现

      
from flask import Flask, render_template, make_response
      
from flask import redirect
      
from flask import request
      
from flask import url_for

app = Flask(__name__)

@app.route('/', methods=["POST", "GET"])
      
def index():
      
    if request.method == "POST":
      
        # 取到表单中提交上来的参数
      
        username = request.form.get("username")
      
        password = request.form.get("password")

        if not all([username, password]):
      
            print('参数错误')
      
        else:
      
            print(username, password)
      
            if username == 'laowang' and password == '1234':
      
                # 状态保持，设置用户名到cookie中表示登录成功
      
                response = redirect(url_for('transfer'))
      
                response.set_cookie('username', username)
      
                return response
      
            else:
      
                print('密码错误')

    return render_template('temp_login.html')

@app.route('/transfer', methods=["POST", "GET"])
      
def transfer():
      
    # 从cookie中取到用户名
      
    username = request.cookies.get('username', None)
      
    # 如果没有取到，代表没有登录
      
    if not username:
      
        return redirect(url_for('index'))

    if request.method == "POST":
      
        to_account = request.form.get("to_account")
      
        money = request.form.get("money")
      
        print('假装执行转操作，将当前登录用户的钱转账到指定账户')
      
        return '转账 %s 元到 %s 成功' % (money, to_account)

    # 渲染转换页面
      
    response = make_response(render_template('temp_transfer.html'))
      
    return response

if __name__ == '__main__':
      
    app.run(debug=True, port=9000)
      • 前端登录页面代码
      <!DOCTYPE html>
      
<html lang="en">
      
<head>
      
    <meta charset="UTF-8">
      
    <title>登录</title>
      
</head>
      
<body>

<h1>我是网站A，登录页面</h1>

<form method="post">
      
    <label>用户名：</label><input type="text" name="username" placeholder="请输入用户名"><br/>
      
    <label>密码：</label><input type="password" name="password" placeholder="请输入密码"><br/>
      
    <input type="submit" value="登录">
      
</form>

</body>
      
</html>
      • 前端转账页面代码
      <!DOCTYPE html>
      
<html lang="en">
      
<head>
      
    <meta charset="UTF-8">
      
    <title>转账</title>
      
</head>
      
<body>
      
<h1>我是网站A，转账页面</h1>

<form method="post">
      
    <label>账户：</label><input type="text" name="to_account" placeholder="请输入要转账的账户"><br/>
      
    <label>金额：</label><input type="number" name="money" placeholder="请输入转账金额"><br/>
      
    <input type="submit" value="转账">
      
</form>

</body>
      
</html>

      运行测试，如果在未登录的情况下，不能直接进入转账页面，测试转账是成功的

      攻击网站B的代码

      • 后端代码实现
      from flask import Flask
      
from flask import render_template

app = Flask(__name__)

@app.route('/')
      
def index():
      
    return render_template('temp_index.html')

if __name__ == '__main__':
      
    app.run(debug=True, port=8000)
      • 前端代码实现
      <!DOCTYPE html>
      
<html lang="en">
      
<head>
      
    <meta charset="UTF-8">
      
    <title>Title</title>
      
</head>
      
<body>

<h1>我是网站B</h1>

<form method="post" action="http://127.0.0.1:9000/transfer">
      
    <input type="hidden" name="to_account" value="999999">
      
    <input type="hidden" name="money" value="190000" hidden>
      
    <input type="submit" value="点击领取优惠券">
      
</form>

</body>
      
</html>

      运行测试，在用户登录网站A的情况下，点击网站B的按钮，可以实现伪造访问

    在网站A中模拟实现 csrf_token 校验的流程

    • 添加生成 csrf_token 的函数
    # 生成 csrf_token 函数
    
def generate_csrf():
    
    return bytes.decode(base64.b64encode(os.urandom(48)))
    • 在渲染转账页面的，做以下几件事情：

      • 生成 csrf_token 的值
      • 在返回转账页面的响应里面设置 csrf_token 到 cookie 中
      • 将 csrf_token 保存到表单的隐藏字段中
    @app.route('/transfer', methods=["POST", "GET"])
    
def transfer():
    
    ...
    
    # 生成 csrf_token 的值
    
    csrf_token = generate_csrf()

    # 渲染转换页面，传入 csrf_token 到模板中
    
    response = make_response(render_template('temp_transfer.html', csrf_token=csrf_token))
    
    # 设置csrf_token到cookie中，用于提交校验
    
    response.set_cookie('csrf_token', csrf_token)
    
    return response
    • 在转账模板表单中添加 csrf_token 隐藏字段
    <form method="post">
    
    <input type="hidden" name="csrf_token" value="{{ csrf_token }}">
    
    <label>账户：</label><input type="text" name="to_account" placeholder="请输入要转账的账户"><br/>
    
    <label>金额：</label><input type="number" name="money" placeholder="请输入转账金额"><br/>
    
    <input type="submit" value="转账">
    
</form>
    • 运行测试，进入到转账页面之后，查看 cookie 和 html 源代码

SCRF的简介及防护手段的更多相关文章

  1. Activity劫持实例与防护手段

    原文地址:Activity劫持实例与防护手段 作者:cjxqhhh (本文只用于学习技术,提高大家警觉,切勿用于非法用途!)   什么叫Activity劫持   这里举一个例子.用户打开安卓手机上的某 ...

  2. scrf 原理及flask-wtf防护

    了解什么是scrf? SCRF跨站点请求伪造Cross—Site Request Forgery) 指恶意用户通过个人用户的点击,然而盗用用户的账号信息,并发送邮件.虚拟货币的转账,以及一些重要的事务 ...

  3. 跨站请求伪造(csrf)的防护手段

    CSRF CSRF全拼为Cross Site Request Forgery,译为跨站请求伪造. CSRF指攻击者盗用了你的身份,以你的名义发送恶意请求. 造成的问题:个人隐私泄露以及财产安全. CS ...

  4. 关于web软件信息安全问题防护资料的整理（二）

    想要做好软件的安全防护,首先就得了解web系统的安全威胁,那么web系统都存在哪些威胁呢? 应用层攻击.网络层攻击和混合攻击. 传统被动.单点以及彼此孤立的防护手段已不能应对越来越严峻的安全威胁. 改 ...

  5. 理解DDoS防护本质：基于资源较量和规则过滤的智能化系统

    本文由  网易云发布. 随着互联网生态逐渐形成,DDoS防护已经成为互联网企业的刚需要求,网易云安全(易盾)工程师根据DDoS的方方面面,全面总结DDoS的攻防对抗. 1.什么是DDoS DDoS全称 ...

  6. soft deletion Google SRE 保障数据完整性的手段

    w http://www.infoq.com/cn/articles/GoogleSRE-BookChapter26 Google SRE 保障数据完整性的手段 就像我们假设Google 的底层系统经 ...

  7. iOS应用代码注入防护

    在应用开发过程中,我们不仅仅需要完成正常的业务逻辑,考虑应用性能.代码健壮相关的问题,我们有时还需要考虑到应用安全的问题.那么应用安全的问题涉及到很多方面.比如防止静态分析的,代码混淆.逻辑混淆:防止 ...

  8. 阿里云应用高可用服务 AHAS 流控降级实现 SQL 自动防护功能

    在影响系统稳定性的各种因素中,慢 SQL 是相对比较致命的,可能会导致 CPU.LOAD 异常.系统资源耗尽.线上生产环境出现慢 SQL 往往有很多原因: 硬件问题.如网络速度慢,内存不足,I/O 吞 ...

  9. 常见的Web攻击手段，拿捏了！

    大家好,我是小菜. 一个希望能够成为 吹着牛X谈架构 的男人!如果你也想成为我想成为的人,不然点个关注做个伴,让小菜不再孤单! 本文主要介绍 互联网中常见的 Web 攻击手段 如有需要,可以参考 如有 ...

随机推荐

  1. Web安全学习笔记之Kali部署DVWA和OWASPBWA

    0x0 前言 kali安装完成,下面要进行实战操作了,喵~~(OWASPBWA请直接跳到第八部分) #既然你诚心诚意的问了,我们就大发慈悲的告诉你! #为了防止世界被破坏! #为了守护世界的和平! # ...

  2. 【ES6】改变 JS 内置行为的代理与反射

    代理(Proxy)可以拦截并改变 JS 引擎的底层操作,如数据读取.属性定义.函数构造等一系列操作.ES6 通过对这些底层内置对象的代理陷阱和反射函数,让开发者能进一步接近 JS 引擎的能力. 一.代 ...

  3. logstash编写2以及结合kibana使用

    有时候根据日志的内容,可能一行不能全部显示,会延续在下一行,为了将上下内容关联在一起,于是codec插件中的multiline插件 就派上用场了,源日志内容: [2017-09-20T16:04:34 ...

  4. 20135320赵瀚青LINUX第一章读书笔记

    第一章-Linux内核简介 Unix的历史 依旧被认为是最强大和最优秀的系统 由一个失败的操作系统Multics中产生 被移植到PDP-11型机中 由其他组织进一步开发 重写了虚拟内存系统,最终官方版 ...

  5. linux系统调用是通过软中断实现的吗

    软中断是利用硬件中断的概念,用软件方式进行模拟,实现宏观上的异步执行效果.很多情况下,软中断和信号有些类似,同时,软中断又是和硬中断相对应的,硬中断是外部设备对CPU的中断,软中断通常是硬中断服务程序 ...

  6. ubuntu18.04 64bit如何安装docker

    注:参考自https://docs.docker.com/install/linux/docker-ce/ubuntu/ 1.卸载旧版本docker(如果之前安装了) sudo apt-get rem ...

  7. TortoiseSVN忽略文件夹

    因为平时要做一些主干.分支的版本控制,发布增量补丁包工作,所以经常使用TortoiseSVN客户端.当然,eclipse中也安装了SVN插件,不过在打补丁方面感觉不如客户端.现在遇到了一个问题:同一项 ...

  8. 分分钟解决 MySQL 查询速度慢与性能差

    一.什么影响了数据库查询速度 1.1 影响数据库查询速度的四个因素 1.2 风险分析 QPS: QueriesPerSecond意思是“每秒查询率”,是一台服务器每秒能够相应的查询次数,是对一个特定的 ...

  9. .NET Framework 系统要求

    .NET Framework 3.5对操作系统的要求 .NET Framework 4 对操作系统的要求 .NET Framework 4.5对操作系统的要求

  10. LeetCode——Decode String

    Question Given an encoded string, return it's decoded string. The encoding rule is: k[encoded_string ...