跨站请求伪造之基本介绍
一.基本概念
1.定义
跨站请求伪造（Cross - Site Request Forgery，缩写为 CSRF）漏洞是一种网络安全漏洞。它是指攻击者通过诱导用户访问一个恶意网站，利用用户在被信任网站（如银行网站、社交网站等）的登录状态，在用户不知情的情况下，让用户的浏览器向被信任网站发送非用户本意的请求，从而执行一些操作，比如修改用户信息、进行转账等操作。
2.示例
-
假设用户已经登录了一个网上银行网站bank.com，其会话 ID 存储在浏览器的 Cookie 中。攻击者创建了一个恶意网站evil.com，在这个网站上有如下 HTML 代码：
<form action="https://bank.com/transfer" method="post"><input type="hidden" name="amount" value="1000" /><input type="hidden" name="recipient" value="attacker_account" /> </form> <script>document.forms[0].submit(); </script> -
当用户访问evil.com时，浏览器会自动提交这个表单，向bank.com发送一个转账请求。由于浏览器会带上用户在bank.com的会话 Cookie，bank.com会认为这个请求是用户自己发起的，从而可能导致用户的资金被盗转。
3.危害
- 用户数据泄露和篡改：攻击者可以通过 CSRF 漏洞获取用户的敏感信息，如修改用户密码、邮箱地址等，从而进一步控制用户账户。
- 经济损失：在涉及金融交易的网站上，攻击者可以利用 CSRF 漏洞进行非法转账、购物等操作，给用户造成直接的经济损失。
- 破坏系统功能和信誉：可以对系统的正常功能造成干扰，如大量发送虚假请求，导致系统资源被滥用。同时，也会影响用户对网站的信任，损害网站的信誉。
二.漏洞类型
GET型CSRF
1.定义
GET 型 CSRF（Cross - Site Request Forgery）是 CSRF 攻击的一种类型。在这种攻击方式中，攻击者诱导用户的浏览器发起一个 HTTP GET 请求，利用用户在目标网站的登录状态，在用户不知情的情况下执行目标网站上的某些操作。
2.攻击流程
-
构造恶意链接：攻击者首先会构造一个包含恶意请求的链接。因为 HTTP GET 请求通常用于获取资源，在网页中，链接（<a>标签）、图像（<img>标签）、脚本（<script>标签）等元素都可以发起 GET 请求。
-
利用自动请求机制：
- 例如，使用<img>标签来发起攻击。攻击者在恶意网站上放置一个<img>标签，将其src属性设置为目标网站带有恶意操作的 GET 请求链接。当用户访问这个恶意网站时，浏览器会自动尝试加载这个图像，从而发送这个 GET 请求。
- 同样，对于<a>标签，攻击者可以设置href属性为恶意链接，然后通过一些手段（如欺骗用户点击看起来正常的链接）来让用户触发这个请求。不过这种方式相对比较容易被用户察觉，因为用户可能会看到链接的地址。
-
利用用户会话状态：就像其他类型的 CSRF 攻击一样，GET 型 CSRF 依赖于用户在目标网站的会话状态。当浏览器发送这个恶意的 GET 请求时，会自动带上用户在目标网站的会话 Cookie，目标网站收到请求后，由于有有效的会话标识，就可能会执行这个请求，以为是用户自己发起的操作。
3.示例
-
假设一个社交网站有一个点赞功能，其点赞的接口是https://social.com/like?post_id=123，正常情况下，用户点击社交网站上的点赞按钮会发送这个 GET 请求来为 ID 为 123 的帖子点赞。
-
攻击者在恶意网站上放置了这样的代码：
<img src="https://social.com/like?post_id=123" alt="malicious_image" /> -
当用户访问这个恶意网站时，浏览器会自动加载这个 “图像”，实际上就发送了一个点赞的 GET 请求。由于用户在社交网站的会话 Cookie 会被一起发送，社交网站就可能会为帖子 ID 为 123 的内容点赞，而用户对此可能完全不知情。
POST型CSRF
1.定义
POST 型 CSRF（Cross - Site Request Forgery）是一种跨站请求伪造攻击类型，它利用 HTTP POST 请求来实施攻击。攻击者通过诱导用户在已登录目标网站的状态下，在用户浏览器不知情的情况下发送包含恶意意图的 POST 请求，从而导致目标网站执行非用户本意的操作。
2.攻击流程
-
构造恶意表单：攻击者在恶意网站上构造一个包含目标网站恶意操作的表单。表单的action属性指向目标网站中执行关键操作的 URL，例如银行转账的提交 URL、用户信息修改的提交页面等。表单的各个字段则填写攻击者想要执行的操作参数，如转账金额、修改后的用户信息等。
-
自动提交表单或诱使用户提交：
-
攻击者可以使用 JavaScript 代码来自动提交表单。例如，在恶意 HTML 页面中有如下代码：
<form id="attackForm" action="https://target.com/transfer" method="post"><input type="hidden" name="amount" value="1000" /><input type="hidden" name="recipient" value="attacker_account" /> </form> <script>document.getElementById('attackForm').submit(); </script> -
当用户访问这个恶意网站时，浏览器会自动提交这个表单，向目标网站发送一个 POST 请求。或者，攻击者也可以通过一些手段诱使用户手动提交表单，例如将提交按钮伪装成一个吸引人的链接或按钮，让用户在不知情的情况下点击。
-
-
利用用户会话状态：和 GET 型 CSRF 一样，POST 型 CSRF 也依赖于用户在目标网站的会话状态。当浏览器发送这个 POST 请求时，会自动带上用户在目标网站的会话 Cookie，目标网站收到请求后，由于收到了带有有效用户会话标识（Cookie）的请求，就会执行这个请求，以为是用户自己发起的操作。
三.防御措施
-
使用 CSRF 令牌（Token）：
- 网站在生成表单或关键请求时，同时生成一个唯一的 CSRF 令牌并将其包含在表单中或者作为请求头的一部分。当服务器收到请求时，会验证这个令牌是否有效。因为攻击者无法轻易获取这个令牌，所以无法伪造有效的请求。
-
验证请求来源（Referer 检查）：
- 服务器可以检查请求的来源（即Referer头信息），如果请求来自一个不可信的源，就拒绝这个请求。不过这种方法有一定的局限性，因为Referer头信息可以被浏览器插件或者用户自己修改。
-
Same - Site Cookie 属性设置：
- 可以将 Cookie 的Same - Site属性设置为Strict或者Lax。Strict模式下，浏览器只有在用户从同一站点访问时才会发送 Cookie；Lax模式稍微宽松一些，在一些安全的跨站导航场景下也允许发送 Cookie。这样可以限制 Cookie 在跨站请求中的滥用，从而减轻 CSRF 攻击的风险。
相关文章：
跨站请求伪造之基本介绍
一.基本概念 1.定义 跨站请求伪造（Cross - Site Request Forgery，缩写为 CSRF）漏洞是一种网络安全漏洞。它是指攻击者通过诱导用户访问一个恶意网站，利用用户在被信任网站（如银行网站、社交网站等）的登录状…...
干部大数据分析系统如何助力构建选人用人的逻辑框架
在当今信息化快速发展的时代，干部大数据分析系统作为一种创新的管理工具，正在逐步改变传统的选人用人方式。这一系统融合了大数据、人工智能等现代信息技术，为组织部门提供了一个强大的辅助决策工具，有助于构建更加科学、准确和公…...
今天最新早上好问候语精选大全，每天问候，相互牵挂，彼此祝福
1、朋友相伴，友谊真诚永不变！彼此扶持绿树荫，共度快乐雨后天！一同分享的表情，愿我们友情长存，一生相伴永相连！ 2、人生几十年，苦累伴酸甜，风华不再茂，雄心非当…...
Android开发环境搭建和编译系统
1 工具使用 1.1 将dos格式的文件转换为unix格式文件 直接执行 dos2unix file 例如： dos2unix InotifyMon/AndroidManifest.xml 1.2 Linux Shell FTP使用 ftp <IP addr> 输入ID和password prompt off // 下载文件到本地 mget * 1.3 Linux sed 1.3.1 Linux命令之…...
autMan奥特曼机器人-autMan的PHP环境
直装版请自行安装php环境。 docker版本预置了php环境，如下图： 如果使用插件"test php"测试环境时，实时日志有报错如下： 可进入终端，输入两条命令 apk add curl apk add php-curl...
路径规划之启发式算法之二十：麻雀搜索算法（Sparrow Search Algorithm，SSA）
麻雀搜索算法（Sparrow Search Algorithm，SSA）是一种受麻雀觅食和反捕食行为启发的新型的群智能优化算法，它模拟了麻雀种群的觅食行为和反捕食行为的生物学群体特征。该算法由薛建凯在2020年首次提出，旨在解决全局优化问题，具有求解精度高、效率高等特点。 一、算法原理 S…...
Vue+element 回车查询页面刷新
问题描述： form 表单出查询条件需要实现 input 输入完成后键盘回车查询：keyup.enter“handleQuery”，如果 form 里只有一个input，回车没有触发事件，而是刷新页面，放两个input就没问题 问题原因࿱…...
为何页面搜索应避免左模糊和全模糊查询？？？
前言 在构建高效且可扩展的Web应用程序时，数据库查询的性能是影响用户体验的关键因素之一。特别是对于涉及大量数据的页面搜索功能，选择正确的查询方式不仅可以提升应用的速度，还能显著改善用户交互体验。 B-Tree索引与最左前缀匹配特性 1…...
源码分析之Openlayers中ZoomSlider滑块缩放控件
概述 ZoomSlider滑块缩放控件就是Zoom缩放控件的异形体，通过滑块的拖动或者点击滑槽，实现地图的缩放；另外其他方式控制地图缩放时，也会引起滑块在滑槽中的位置改变；即ZoomSlider滑块缩放控件会监听地图的缩放级别&…...
Cherno C++学习笔记 P46 箭头运算符
这一篇文章我们讲一下箭头运算符的使用。在之前的一些场景下，我们已经使用到了箭头运算符，这次我们可以更深入的聊一下箭头运算符应该如何使用，以及我们如何实现自己的箭头指针。 我们还是以一个最简单的Entity类举例： class En…...
项目转换微服务架构
文章目录 1.sun-dependencies引入SpringCloud的版本2. 创建sun-cloud-home微服务1.创建maven项目2.目录概览3.pom.xml4.application.yml5.application-prod.yml6.HomeApplicaion.java7.HomeController.java8.测试访问9.打包测试 3.创建sun-cloud-sku微服务1.磁盘将这个sun-clou…...
-Coturn踩坑记)
WebRTC搭建与应用(五)-Coturn踩坑记
WebRTC搭建与应用(五)-Coturn踩坑记 近期由于项目需要在研究前端WebGL渲染转为云渲染，借此机会对WebRTC等有了初步了解，在此记录一下，以防遗忘。 第五章 WebRTC搭建与应用(五)-Coturn踩坑记 文章目录 WebRTC搭建与应用(五)-Coturn踩坑记前…...
Uniapp 手机基座调试App 打包成Apk文件，并上传到应用商店
1.Uniapp手机基座调试App。 1.1 以下是我另一篇文章 讲解 uniapp连接手机基座调试App、 Hbuildx使用SUB运行到手机基座测试_hbuilder基座-CSDN博客 2.打包本地的uniapp项目为apk文件。 打包的方式有很多种，我们可以选择本地打包和远程云端打包两种方式。 我们在打包…...
【AI日记】24.12.24 kaggle 比赛 2-12
【AI论文解读】【AI知识点】【AI小项目】【AI战略思考】【AI日记】 工作 参加：kaggle 比赛 Regression with an Insurance Dataset时间：3 小时 读书 书名：我们能做什么 : 胡适与中国青年最真诚的分享时间：2 小时 律己 工作时…...
教师如何打造专属私密成绩查询系统？
期末的校园，被一种特殊的氛围所笼罩。老师们如同辛勤的工匠，精心打磨着每一个教学环节。复习阶段，他们在知识的宝库中精挑细选，把一学期的重点内容一一梳理，为学生们打造出系统的复习框架。课堂上，他们激情…...
【linux】NFS实验
NFS服务 NFS是Network File System（网络文件系统）的缩写。它是一种用于在计算机网络中共享文件和目录的协议。NFS允许计算机上的用户访问和操作远程计算机上的文件，就像访问本地文件一样。它使用客户端-服务端模型，其中客户端机器…...
ubuntu22.04安装PaddleX3
PaddleOCR 安装过程可以参考PaddleX本地安装教程 我的电脑环境配置： ubuntu22.04 cuda11.8（之前安装的是12.4没有匹配的paddle-gpu;这里改成11.8） 一、安装基础环境 1、 conda create -n ppx1 python3.10 2、 conda activate ppx1 3、…...
无标记动作捕捉系统如何赋能体育运动分析，推动体育科学发展？
随着技术的不断发展与社会的需要，健康、科学运动成为了大众关注的一个热词。在韩国首尔的中央大学，其生物运动临床康复实验室和运动训练中心就致力于通过生物力学分析来研究与运动相关的伤害，并通过定制科学的训练计划来帮助运动员改进他们的…...
JavaScript 标准内置对象——Array
1、构造函数 2、静态方法 // 从可迭代或类数组对象创建一个新的浅拷贝的数组实例 // arrayLike 想要转换成数组的类数组或可迭代对象 Array.from(arrayLike, mapFn, thisArg) Array.fromAsync(arrayLike, mapFn, thisArg) // 异步Array.isArray(value) // 判断传递的值是否是一…...
Python超能力：高级技巧让你的代码飞起来
文章一览 前言一、with1.1 基本用法1.2 示例自定义上下文管理器 二、条件表达式三、列表式推导式与 zip 结合 四、map() 函数（内置函数）map用于数据清洗1. 数据清洗：字母大小写规范2. filter() 函数 五、匿名函数 lambda5.1 lambda的参数&…...
move生态
move生态 Move 生态主要围绕着 Move 编程语言及其相关的区块链平台构建，这些平台旨在提供更高的安全性、可扩展性和开发者友好性。以下是关于 Move 生态的一些关键点： 1. 核心区块链平台 Aptos：Aptos 是一个 Layer 1 区块链，专注…...
使用插件时要注意
在使用插件时，需要注意一些关键事项，确保插件能够稳定、安全地工作，并且不会给系统带来风险或负担。以下是使用插件时需要注意的几个重要方面： 1. 插件来源与信任度 官方渠道与可靠来源：总是选择来自官方网站、知名平…...
JVM对象分配内存如何保证线程安全？
大家好，我是锋哥。今天分享关于【JVM对象分配内存如何保证线程安全？】面试题。希望对大家有帮助； JVM对象分配内存如何保证线程安全？ 1000道 互联网大厂Java工程师 精选面试题-Java资源分享网 在JVM中，对象的内存分配…...
ApacheStruts2 目录遍历与文件上传漏洞复现（CVE-2024-53677,S2-067）（附脚本）
0x01 产品描述： Apache Struts 2 是一个用于JAVA的MVC框架，它用于快速开发web应用。它的设计目标是使得开发者能够更容易的处理web应用的展现层，数据层，和业务层。0x02 漏洞描述： CVE-2024-53677 漏洞的根本原因是 Struts 框架中不安全的文件上传处理机制。攻击者利用 CVE…...
Scala字符串连接方法—mkString—用法详解
Scala字符串连接方法—mkString—用法详解 在 Scala 中，mkString 是集合（如数组、列表、字符串等）的一种方法，用于将集合中的元素连接成一个字符串。 def mkString(sep: String): Stringdef mkString(start: String, sep: String…...
[实战]Spring Boot启动卡在Root WebApplicationContext initialization completed in
Spring Boot启动 打印Root WebApplicationContext: initialization completed in…这行日志完成后需要等很长时间才能真正启动完成。 分析一下发现是连接某个机器的MySQL就会出现这种情况。使用客户端软件连接MySQL时也很慢，但连接完成后执行MySQL各种语句非常看。…...
什么样的LabVIEW控制算自动控制？
自动控制是指系统通过预先设计的算法和逻辑，在无人工干预的情况下对被控对象的状态进行实时监测、决策和调整，达到预期目标的过程。LabVIEW作为一种图形化编程工具，非常适合开发自动控制系统。那么，什么样的LabVIEW控制算作“自动…...
xshell下载和安装（超详细）
参考:https://blog.csdn.net/hffh123/article/details/135885175 一、xshell官网下载 下载官网：https://www.xshell.com/zh/free-for-home-school/ 二、安装步骤 （一）、直接打开.exe文件 （二）、点击下一步ÿ…...
NS3学习——tcpVegas算法代码详解（2）
NS3学习——tcpVegas算法代码详解（1）-CSDN博客 目录 4.TcpVegas类中成员函数 (5) CongestionStateSet函数 (6) IncreaseWindow函数 1.检查是否启用 Vgas 2.判断是否完成了一个“Vegas 周期” 2.1--if：判断RTT样本数量是否足够 2.2--e…...
PyTorch 神经网络回归（Regression）任务：关系拟合与优化过程
PyTorch 神经网络回归（Regression）任务：关系拟合与优化过程 本教程介绍了如何使用 PyTorch 构建一个简单的神经网络来实现关系拟合，具体演示了从数据准备到模型训练和可视化的完整过程。首先，利用一维线性空间生成带噪…...
链原生 Web3 AI 网络 Chainbase 推出 AVS 主网， 拓展 EigenLayer AVS 场景
在 12 月 4 日，链原生的 Web3 AI 数据网络 Chainbase 正式启动了 Chainbase AVS 主网，同时发布了首批 20 个 AVS 节点运营商名单。Chainbase AVS 是 EigenLayer AVS 中首个以数据智能为应用导向的主网 AVS，其采用四层网络架构，其中…...
es 3期 第18节-分页查询使用避坑的一些事
#### 1.Elasticsearch是数据库，不是普通的Java应用程序，传统数据库需要的硬件资源同样需要，提升性能最有效的就是升级硬件。 #### 2.Elasticsearch是文档型数据库，不是关系型数据库，不具备严格的ACID事务特性ÿ…...
linux检测硬盘
通过fdisk 查看显示所有磁盘或闪存的信息 fdisk -l /dev/sd*使用 badlocks检查 linux 硬盘上的坏道/坏块。也可以修复坏道，但仅限于逻辑坏道，物理坏道只能更换硬盘 badblocks -s -v /dev/vdb1 > /badblocks-vdb1.txt tail -f badblocks-vdb1.txt #检…...
)
Unity3d 基于UGUI和VideoPlayer 实现一个多功能视频播放器功能(含源码)
前言 随着Unity3d引擎在数字沙盘、智慧工厂、数字孪生等场景的广泛应用，视频已成为系统程序中展示时，不可或缺的一部分。在 Unity3d 中，我们可以通过强大的 VideoPlayer 组件和灵活的 UGUI 系统，将视频播放功能无缝集成到用户界面…...
Ubuntu22.04 LTS 安装nvidia显卡驱动
准备跑老师给定的Github上的多模态源码，但是用了这么久ubuntu还没有尝试过安装nvidia驱动，好在也是一次成功，于是记录下来。 借鉴的是Ubuntu22.04安装显卡驱动(高速、避错版)-CSDN博客这篇文章，按照流程来基本没有问题，不过个人觉得有些步骤比较冗余，所以记录下来 主要…...
第5章课后作业)
Linux编程(清华大学出版社2019年1月第1版)第5章课后作业
5.1 对于执行在时间上有重叠的逻辑流，称为并发流，并发流是并发的 并发不并发并发 5.2 几个箭头几个状态转换关系，箭头上写了可能原因。 在就绪状态不会执行指令，不会有IO请求或主动wait的情况，不会有从就绪状态到阻…...
相机雷达外参标定综述“Automatic targetless LiDAR–camera calibration: a survey“
相机雷达外参标定综述--Automatic targetless LiDAR–camera calibration: a survey 前言1 Introduction2 Background3 Automatic targetless LiDAR–camera calibration3.1 Information theory based method(信息论方法)3.1.1 Pairs of point cloud and image attributes(属性…...
JSON 系列之1：将 JSON 数据存储在 Oracle 数据库中
本文为Oracle数据库JSON学习系列的第一篇，讲述如何将JSON文档存储到数据库中，包括了版本为19c和23ai的情形。 19c中的JSON 先来看一下数据库版本为19c时的情形。 创建表colortab，其中color列的长度设为4000。若color的长度需要设为32767&a…...
之ShardingSphere分库分表实战指南)
分布式专题(10)之ShardingSphere分库分表实战指南
一、ShardingSphere产品介绍 Apache ShardingSphere 是一款分布式的数据库生态系统， 可以将任意数据库转换为分布式数据库，并通过数据分片、弹性伸缩、加密等能力对原有数据库进行增强。Apache ShardingSphere 设计哲学为 Database Plus，旨在…...
支付宝订单码支付
1.订单码支付，首先下载官方网站提供的sdk包到你的项目中。 2.选择控制器复制官方文档的获取二维码相关的代码示例。打开sdk包中v2的index.php文件，这个才是你选择语言的具体代码。 3.引用里面所需要的类文件，文件下载到你的项目中后…...
使用 Django 和 AWS ECR 实现容器化应用的管理
在现代云原生应用的开发和部署中,容器化技术已经成为主流。Amazon Elastic Container Registry (ECR) 是一种完全管理的 Docker 容器注册表服务,可以与 Amazon ECS、EKS 和其他容器服务无缝集成。在这篇文章中,我们将介绍如何使用 Django 和 AWS ECR 实现集成管理,包括创建、更…...
DeepWalk 原理详解
概述： DeepWalk 是一种流行的图嵌入方法，用于学习图结构数据中节点的低维表示。它通过将图的节点视作序列数据，利用自然语言处理中的技术（类似于word2vec算法）来捕捉节点间的关系，可以帮助我们理解和利用图…...
深入理解批量归一化（BN）：原理、缺陷与跨小批量归一化（CmBN）
在训练深度神经网络时，批量归一化（Batch Normalization，简称BN）是一种常用且有效的技术，它帮助解决了深度学习中训练过程中的梯度消失、梯度爆炸和训练不稳定等。然而，BN也有一些局限性，特别是在…...
基于Spring Boot的雅苑小区管理系统
一、系统背景与意义 随着信息化技术的快速发展，传统的小区物业管理方式已经难以满足现代居民对于高效、便捷服务的需求。因此，开发一款基于Spring Boot的小区管理系统显得尤为重要。该系统旨在通过信息化手段，实现小区物业管理的智能化、自动…...
物理层知识要点
文章目录 物理层接口的四大特性通信基础编码和调制（1）数字数据编码为数字信号（2）模拟数据编码为数字信号（3）常见调制方式（3）信道的极限容量 多路复用技术数据传输方式物理层下的传输…...
项目里用到了哪些设计模式是怎么使用的?
在软件开发项目中，设计模式是解决特定问题的通用模板或最佳实践。它们提供了一种经过验证的方式来组织代码，使其更易于理解、维护和扩展。下面我将详细介绍一些常见的设计模式及其在项目中的应用方式。 1. 单例模式（Singleton Pattern&#…...
CPU性能篇-CPU 100%如何定位根因-Day 03
1. CPU使用率 1.1 关键指标介绍 user（通常缩写为 us），代表用户态 CPU 时间。注意，它不包括下面的 nice 时间，但包括了 guest 时间。nice（通常缩写为 ni），代表低优先级用户态 CPU 时…...
访谈积鼎科技总经理：国产CFD软件发展与未来趋势展望
傅彦国，上海积鼎信息科技有限公司创始人 记者：请傅总介绍下我国流体仿真行业的发展现状是怎样的？ 傅彦国：自2018年政府加大了对核心技术自主研发的支持力度，国产CFD软件逐渐步入发展正轨。 首先，从市场规…...
四种自动化测试模型实例及优缺点详解
一、线性测试 1.概念： 通过录制或编写对应应用程序的操作步骤产生的线性脚本。单纯的来模拟用户完整的操作场景。 （操作，重复操作，数据）都混合在一起。 2.优点： 每个脚本相对独立，且不产生…...
数字后端培训项目Floorplan常见问题系列专题续集1
今天继续给大家分享下数字IC后端设计实现floorplan阶段常见问题系列专题。这些问题都是来自于咱们社区IC后端训练营学员提问的问题库。目前这部分问题库已经积累了4年了，后面会陆续分享这方面的问题。 希望对大家的数字后端学习和工作有所帮助。 数字后端项目Floor…...