当前位置：首页 > news >正文

CSRF攻击XSS攻击

news 来源：原创 2025/6/18 2:22:05

概述

在 HTML 中，<a>, <form>, <img>, <script>, <iframe>, <link> 等标签以及 Ajax 都可以指向一个资源地址，而所谓的跨域请求就是指：当前发起请求的域与该请求指向的资源所在的域不一样。这里的域指的是这样的一个概念：我们认为若协议 + 域名 + 端口号均相同，那么就是同域。

举个例子：假如一个域名为aaa.cn的网站，它发起一个资源路径为aaa.cn/books/getBookInfo的 Ajax 请求，那么这个请求是同域的，因为资源路径的协议、域名以及端口号与当前域一致（例子中协议名默认为http，端口号默认为80）。但是，如果发起一个资源路径为bbb.com/pay/purchase的 Ajax 请求，那么这个请求就是跨域请求，因为域不一致，与此同时由于安全问题，这种请求会受到同源策略限制。

跨域请求的安全问题

通常，浏览器会对上面提到的跨域请求作出限制。浏览器之所以要对跨域请求作出限制，是出于安全方面的考虑，因为跨域请求有可能被不法分子利用来发动 CSRF攻击。

一、csrf攻击

　　CSRF（Cross-site request forgery），中文名称：跨站请求伪造，也被称为：one click attack/session riding，缩写为：CSRF/XSRF。CSRF攻击者在用户已经登录目标网站之后，诱使用户访问一个攻击页面，利用目标网站对用户的信任，以用户身份在攻击页面对目标网站发起伪造用户操作的请求，达到攻击目的。、　

CSRF攻击攻击原理及过程如下：

1. 用户C打开浏览器，访问受信任网站A，输入用户名和密码请求登录网站A；

2.在用户信息通过验证后，网站A产生Cookie信息并返回给浏览器，此时用户登录网站A成功，可以正常发送请求到网站A；

3. 用户未退出网站A之前，在同一浏览器中，打开一个TAB页访问网站B；

4. 网站B接收到用户请求后，返回一些攻击性代码，并发出一个请求要求访问第三方站点A；

　 5. 浏览器在接收到这些攻击性代码后，根据网站B的请求，在用户不知情的情况下携带Cookie信息，向网站A发出请求。网站A并不知道该请求其实是由B发起的，所以会根据用户C的Cookie信息以C的权限处理该请求，导致来自网站B的恶意代码被执行。

因而 CSRF 攻击可以简单理解为：攻击者盗用了你的身份，以你的名义发送而已请求。CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账......造成的问题包括：个人隐私泄露以及财产安全。

CSRF攻击是源于WEB的隐式身份验证机制！WEB的身份验证机制虽然可以保证一个请求是来自于某个用户的浏览器，但却无法保证该请求是用户批准发送的！

csrf防御

目前防御 CSRF 攻击主要有三种策略：验证 HTTP Referer 字段；在请求地址中添加 token 并验证；在 HTTP 头中自定义属性并验证。

（1）验证 HTTP Referer 字段

根据 HTTP 协议，在 HTTP 头中有一个字段叫 Referer，它记录了该 HTTP 请求的来源地址。在通常情况下，访问一个安全受限页面的请求来自于同一个网站，比如需要访问 http://bank.example/withdraw?account=bob&amount=1000000&for=Mallory，用户必须先登陆 bank.example，然后通过点击页面上的按钮来触发转账事件。这时，该转帐请求的 Referer 值就会是转账按钮所在的页面的 URL，通常是以 bank.example 域名开头的地址。而如果黑客要对银行网站实施 CSRF 攻击，他只能在他自己的网站构造请求，当用户通过黑客的网站发送请求到银行时，该请求的 Referer 是指向黑客自己的网站。因此，要防御 CSRF 攻击，银行网站只需要对于每一个转账请求验证其 Referer 值，如果是以 bank.example 开头的域名，则说明该请求是来自银行网站自己的请求，是合法的。如果 Referer 是其他网站的话，则有可能是黑客的 CSRF 攻击，拒绝该请求。

这种方法的显而易见的好处就是简单易行，网站的普通开发人员不需要操心 CSRF 的漏洞，只需要在最后给所有安全敏感的请求统一增加一个拦截器来检查 Referer 的值就可以。特别是对于当前现有的系统，不需要改变当前系统的任何已有代码和逻辑，没有风险，非常便捷。

然而，这种方法并非万无一失。Referer 的值是由浏览器提供的，虽然 HTTP 协议上有明确的要求，但是每个浏览器对于 Referer 的具体实现可能有差别，并不能保证浏览器自身没有安全漏洞。使用验证 Referer 值的方法，就是把安全性都依赖于第三方（即浏览器）来保障，从理论上来讲，这样并不安全。事实上，对于某些浏览器，比如 IE6 或 FF2，目前已经有一些方法可以篡改 Referer 值。如果 bank.example 网站支持 IE6 浏览器，黑客完全可以把用户浏览器的 Referer 值设为以 bank.example 域名开头的地址，这样就可以通过验证，从而进行 CSRF 攻击。

即便是使用最新的浏览器，黑客无法篡改 Referer 值，这种方法仍然有问题。因为 Referer 值会记录下用户的访问来源，有些用户认为这样会侵犯到他们自己的隐私权，特别是有些组织担心 Referer 值会把组织内网中的某些信息泄露到外网中。因此，用户自己可以设置浏览器使其在发送请求时不再提供 Referer。当他们正常访问银行网站时，网站会因为请求没有 Referer 值而认为是 CSRF 攻击，拒绝合法用户的访问。

（2）在请求地址中添加 token 并验证

CSRF 攻击之所以能够成功，是因为黑客可以完全伪造用户的请求，该请求中所有的用户验证信息都是存在于 cookie 中，因此黑客可以在不知道这些验证信息的情况下直接利用用户自己的 cookie 来通过安全验证。要抵御 CSRF，关键在于在请求中放入黑客所不能伪造的信息，并且该信息不存在于 cookie 之中。可以在 HTTP 请求中以参数的形式加入一个随机产生的 token，并在服务器端建立一个拦截器来验证这个 token，如果请求中没有 token 或者 token 内容不正确，则认为可能是 CSRF 攻击而拒绝该请求。

这种方法要比检查 Referer 要安全一些，token 可以在用户登陆后产生并放于 session 之中，然后在每次请求时把 token 从 session 中拿出，与请求中的 token 进行比对，但这种方法的难点在于如何把 token 以参数的形式加入请求。对于 GET 请求，token 将附在请求地址之后，这样 URL 就变成 http://url?csrftoken=tokenvalue。而对于 POST 请求来说，要在 form 的最后加上 <input type=”hidden” name=”csrftoken” value=”tokenvalue”/>，这样就把 token 以参数的形式加入请求了。但是，在一个网站中，可以接受请求的地方非常多，要对于每一个请求都加上 token 是很麻烦的，并且很容易漏掉，通常使用的方法就是在每次页面加载时，使用 javascript 遍历整个 dom 树，对于 dom 中所有的 a 和 form 标签后加入 token。这样可以解决大部分的请求，但是对于在页面加载之后动态生成的 html 代码，这种方法就没有作用，还需要程序员在编码时手动添加 token。

该方法还有一个缺点是难以保证 token 本身的安全。特别是在一些论坛之类支持用户自己发表内容的网站，黑客可以在上面发布自己个人网站的地址。由于系统也会在这个地址后面加上 token，黑客可以在自己的网站上得到这个 token，并马上就可以发动 CSRF 攻击。为了避免这一点，系统可以在添加 token 的时候增加一个判断，如果这个链接是链到自己本站的，就在后面添加 token，如果是通向外网则不加。不过，即使这个 csrftoken 不以参数的形式附加在请求之中，黑客的网站也同样可以通过 Referer 来得到这个 token 值以发动 CSRF 攻击。这也是一些用户喜欢手动关闭浏览器 Referer 功能的原因。

（3）在 HTTP 头中自定义属性并验证

这种方法也是使用 token 并进行验证，和上一种方法不同的是，这里并不是把 token 以参数的形式置于 HTTP 请求之中，而是把它放到 HTTP 头中自定义的属性里。通过 XMLHttpRequest 这个类，可以一次性给所有该类请求加上 csrftoken 这个 HTTP 头属性，并把 token 值放入其中。这样解决了上种方法在请求中加入 token 的不便，同时，通过 XMLHttpRequest 请求的地址不会被记录到浏览器的地址栏，也不用担心 token 会透过 Referer 泄露到其他网站中去。

然而这种方法的局限性非常大。XMLHttpRequest 请求通常用于 Ajax 方法中对于页面局部的异步刷新，并非所有的请求都适合用这个类来发起，而且通过该类请求得到的页面不能被浏览器所记录下，从而进行前进，后退，刷新，收藏等操作，给用户带来不便。另外，对于没有进行 CSRF 防护的遗留系统来说，要采用这种方法来进行防护，要把所有请求都改为 XMLHttpRequest 请求，这样几乎是要重写整个网站，这代价无疑是不能接受的。

二、XSS攻击

XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意的特殊目的。XSS属于被动式的攻击，因为其被动且不好利用，所以许多人常呼略其危害性。

在WEB2.0时代，强调的是互动，使得用户输入信息的机会大增，在这个情况下，我们作为开发者，在开发的时候，要提高警惕。

XSS攻击的主要途径

XSS攻击方法只是利用HTML的属性，作各种的尝试，找出注入的方法。现在对三种主要方式进行分析。
第一种：对普通的用户输入，页面原样内容输出。

打开http://go.ent.163.com/goproducttest/test.jsp(限公司IP)，输入：<script>alert(‘xss’)</script>， JS脚本顺利执行。当攻击者找到这种方法后，就可以传播这种链接格式的链接（http://go.ent.163.com/goproducttest/test.jsp?key=JSCODE）如：http: //go.ent.163.com/goproducttest/test.jsp?key=<script>alert(‘xss’)& lt;/script>，并对JSCODE做适当伪装，如：

http://go.ent.163.com/goproducttest/test.jsp?key=%3c%73%63%72%69%70 %74%3e%61%6c%65%72%74%28%27%78%73%73%27%29%3c%2f%73%63%72%69%70%74%3e,当其它用户当点此链接的时候，JS就运行了，造成的后果会很严重，如跳去一个有木马的页面、取得登陆用户的COOKIE等。

第二种：在代码区里有用户输入的内容

原则就是，代码区中，绝对不应含有用户输入的东西。

第三种：允许用户输入HTML标签的页面。

用户可以提交一些自定义的HTML代码，这种情况是最危险的。因为，IE浏览器默认采用的是UNICODE编码，HTML编码可以用&#ASCII方式来写，又可以使用”/”连接16进制字符串来写，使得过滤变得异常复杂，如下面的四个例子，都可以在IE中运行。

1，直接使用JS脚本。

2，对JS脚本进行转码。

3，利用标签的触发条件插入代码并进行转码。

4，使用16进制来写(可以在傲游中运行)

以上写法等于<img STYLE=”background-image: url(javascript:alert(‘XSS’))”>

XSS攻击解决办法

请记住两条原则：过滤输入和转义输出。具体执行的方式有以下几点：
第一、在输入方面对所有用户提交内容进行可靠的输入验证，提交内容包括URL、查询关键字、http头、post数据等.

第二、在输出方面，在用户输内容中使用<XMP>标签。标签内的内容不会解释，直接显示。

第三、严格执行字符输入字数控制。

第四、在脚本执行区中，应绝无用户输入。

CSRF攻击XSS攻击

概述在 HTML 中，<a>, <form>, <img>, <script>, <iframe>, <link> 等标签以及 Ajax 都可以指向一个资源地址，而所谓的跨域请求就是指：当前发起请求的域与该请求指向的资源所在的域不一样。这里的域指…...

编程日记 2025/6/2 1:39:13

vue3学习日记8 - 一级分类

最近发现职场前端用的框架大多为vue，所以最近也跟着黑马程序员vue3的课程进行学习，以下是我的学习记录视频网址： Day2-17.Layout-Pinia优化重复请求_哔哩哔哩_bilibili 学习日记： vue3学习日记1 - 环境搭建-CSDN博客 vue3学…...

编程日记 2025/5/28 8:32:27

Notepad++移除所有空格

1.打开Notepad。 2.打开你想要编辑的文件。 3.按下 Ctrl H 打开查找和替换对话框，并选择 “正则表达式”。 4.在 “查找目标” 框中输入 \s。 5.在 “替换为” 框中留空，不填写任何内容。 6.点击 “全部替换” 按钮。...

编程日记 2025/5/29 19:02:41

JavaSE第八天

一、继承之super关键字 super关键字： 一个引用变量，用于引用父类对象父类和子类都具有相同的命名方法，要调用父类方法时使用父类和子类都具有相同的命名属性，要调用父类中的属性时使用 super也是父类的构造函数，…...

编程日记 2025/6/1 10:34:10

ideal jdk报错如何解决

例如: 可能一:环境变量中未配置请在Path中加入并将要使用的最好置顶,如可能二:项目结构中语言级别错误: 可能三:Maven工程中,对于模块要单独设置jdk: 如: 未设置则为默认,在博主本次展示中为:...

编程日记 2025/6/1 14:07:47

嵌入式Linux ntpclient的使用

ntpclient是一个用于与NTP（Network Time Protocol，网络时间协议）服务器通信并测量系统时间的工具。我这里用的是"ntpclient_2024_132"。下载源码编译后会得到一个ntpclient程序。下面是对ntpclient每个选项的解释： -…...

编程日记 2025/6/4 6:28:16

25/1/15 嵌入式笔记初学STM32F108

GPIO初始化函数 GPIO_Ini：初始化GPIO引脚的模式，速度和引脚号 GPIO_Init(GPIOA, &GPIO_InitStruct); // 初始化GPIOA的引脚0 GPIO输出控制函数 GPIO_SetBits：将指定的GPIO引脚设置为高电平 GPIO_SetBits(GPIOA, GPIO_Pin_0); // 将GPIO…...

编程日记 2025/6/2 2:58:25

【练习】力扣热题100 字符串解码

题目给定一个经过编码的字符串，返回它解码后的字符串。编码规则为: k[encoded_string]，表示其中方括号内部的 encoded_string 正好重复 k 次。注意 k保证为正整数。你可以认为输入字符串总是有效的；输入字符串中没有额外的空格&#xff0c…...

编程日记 2025/6/3 10:10:57

1.快慢指针-力扣-283-移动零

题目描述给定一个数组 nums，编写一个函数将所有 0 移动到数组的末尾，同时保持非零元素的相对顺序。请注意 ，必须在不复制数组的情况下原地对数组进行操作。用例示例 1: 输入: nums [0,1,0,3,12] 输出: [1,3,12,0,0] 示例 2: 输入: nu…...

编程日记 2025/6/4 11:51:07

5. 使用springboot做一个音乐播放器软件项目【业务逻辑开发】

#万物oop 上一章文章我们做了音乐播放器数据表的创建。参加地址： https://blog.csdn.net/Drug_/article/details/145093705 今天分享的这篇文章就是根据数据表来写业务逻辑。今天我们主要是实现管理后台的功能。对于这篇文章的理解需要小伙伴有 springbo…...

编程日记 2025/6/3 10:36:31

配置正确spring-boot工程启动的时候报错dynamic-datasource Please check the setting of primary

一个两年没有碰的spring-boot工程，启动时报错。因为用了baomidou的多源数据库配置，因此启动时报错primary没有正确配置。经过检查，确定配置文件配置正确。报错原因是没有读到正确的配置文件。pom文件里的resources标签重定义，把…...

编程日记 2025/6/3 17:17:35

Freeswitch使用media_bug能力实现回铃音检测

利用freeswitch的media bug能力来在智能外呼时通过websocket对接智能中心的声音检测接口，来实现回铃音检测，来判断用户当前是否已响应，拒接，关机等。 1.回铃音处理流程 2.模块源码目录结构首先新建一个freeswitch的源码的src/a…...

编程日记 2025/6/4 0:28:21

Kubernetes（k8s）和Docker Compose本质区别

Kubernetes（简称 k8s）和 Docker Compose 是容器编排领域的两大重要工具，虽然它们都用于管理和编排容器化应用，但在设计目标、功能特性、使用场景和复杂度上存在显著差异。以下将从多个方面详细探讨 Kubernetes 和 Docker Compose …...

编程日记 2025/6/1 7:59:38

OSI七层协议——分层网络协议

OSI七层协议，顾名思义，分为七层，实际上七层是不存在的，是人为的进行划分,让人更好的理解七层协议包括，物理层(我),数据链路层(据),网络层(网),传输层(传输),会话层(会),表示层(表),应用层(用)(记忆口诀->我会用表…...

编程日记 2025/5/29 6:05:41

RabbitMQ 客户端连接、发送、接收处理消息

RabbitMQ 客户端连接、发送、接收处理消息一. RabbitMQ 的机制跟 Tcp、Udp、Http 这种还不太一样 RabbitMQ 服务，不是像其他服务器一样，负责逻辑处理，然后转发给客户端而是所有客户端想要向 RabbitMQ服务发送消息， 第一步&a…...

编程日记 2025/6/1 9:56:47

SQL ON与WHERE区别

在 MySQL 中，ON 和 WHERE 都用于过滤数据，但它们的使用场景和作用有所不同，尤其是在涉及 JOIN 操作时。下面通过具体的例子来说明它们的区别。 1. ON 的作用 ON 用于指定表之间的连接条件，决定哪些行应该被连接在一起。它在 JOI…...

编程日记 2025/5/29 21:43:11

[创业之路-254]：《华为数字化转型之道》-1-华为是一个由客户需求牵引、高度数字化、高度智能化、由无数个闭环流程组成的价值创造、评估、分配系统。

前言： 华为是一个由客户需求牵引、高度数字化、高度智能化、由无数个闭环流程组成的价值创造、评估、分配系统。华为的流程大到战略，小到日常工作，是由无数个自我调节自我优化的数字化闭环控制流程组成，大闭环套小闭环&#xff0…...

编程日记 2025/6/3 4:33:50

免费为企业IT规划WSUS：Windows Server 更新服务 (WSUS) 之快速入门教程（一）

哈喽大家好，欢迎来到虚拟化时代君（XNHCYL），收不到通知请将我点击星标！“ 大家好，我是虚拟化时代君，一位潜心于互联网的技术宅男。这里每天为你分享各种你感兴趣的技术、教程、软件、资源、福利…...

编程日记 2025/6/3 1:30:19

异步任务与定时任务

一、异步任务基于TaskExecutionAutoConfiguration配置类中，注册的ThreadPoolTaskExecutor线程池对象进行异步任务执行。 (一)手动执行异步任务在yml中配置线程池参数 spring: task:execution:pool:core-size: 5 # 核心线程数max-size: 20 # 最大线…...

编程日记 2025/6/4 1:49:57

大模型WebUI：Gradio全解11——Chatbot：融合大模型的多模态聊天机器人（5）

大模型WebUI：Gradio全解11——Chatbot：融合大模型的多模态聊天机器人（5） 前言本篇摘要11. Chatbot：融合大模型的多模态聊天机器人11.5 Chatbot的特殊Events11.5.1 各事件总演示11.5.2 详解.undo、.retry、.like和.edit…...

编程日记 2025/6/1 10:50:16

32单片机综合应用案例——基于GPS的车辆追踪器（三）（内附详细代码讲解！！！）

困难不会永远存在，只要你勇于面对，坚持努力，就一定能够战胜一切困难。每一次挑战都是一次成长的机会，不要害怕失败，失败是成功之母。只有经历过失败，你才能更加明白自己的不足，并不断改进自己&a…...

编程日记 2025/6/4 17:20:27

扣除价格因素与剔除季节性因素：统计数据中的“真实”增长（中英双语）

扣除价格因素与剔除季节性因素：统计数据中的“真实”增长在经济统计分析中，我们经常会听到“扣除价格因素”和“剔除季节性因素”这两个概念。这两者都是为了排除外部干扰因素，真实反映经济活动的增长情况。它们分别针对价格波动和季节性波…...

编程日记 2025/6/4 11:03:46

网卡接收报文的过程

网卡接收报文的过程通常包括以下几个关键步骤： 1. 硬件接收： • 网卡硬件首先接收到从网络传输过来的数据包。网络接口卡（NIC）负责将接收到的电信号转换为数字信号，并存储到一个硬件缓冲区中。 2. DMA传输&#xff…...

编程日记 2025/6/1 13:39:44

Windows图形界面(GUI)-QT-C/C++ - QT 对话窗口

公开视频 -> 链接点击跳转公开课程博客首页 -> 链接点击跳转博客主页目录模态对话框非模态对话框文件对话框基本概念静态函数常见属性颜色对话框基本概念静态函数常见属性字体对话框基本概念静态函数常见属性输入对话框基本概念 …...

编程日记 2025/5/31 18:44:54

bypass--2025春秋杯冬季赛

漏洞点题目不难，这个循环赋值的结束条件是s[i]0，并且s和key再栈上的位置是挨着的那么很容易想到，第二次循环赋值的时候，有一个溢出，溢出部分的值是第一次写入的key的值。那么基本思路就是，利用这段溢出…...

编程日记 2025/6/1 5:54:19

学习微信小程序的下拉列表控件-picker

1、创建一个空白工程 2、index.wxml中写上picker布局：  <view class"container"><picker mode"selector" range"{{array}}" bindchange"bindPickerChange"><view class"pick…...

编程日记 2025/5/29 13:55:16

【17】Word：林楚楠-供应链❗

目录题目 NO1.2 NO3 NO4 NO5 NO6 NO7 NO89 题目 NO1.2 另存为：文件→另存为→文档→文件名/考生文件夹F12/FnF12→文件名/考生文件夹插入→分节符→文本框→输入文件→排版_居中对齐→间距/回车去掉文本框的边框→选中文本框→格式：形状轮廓…...

编程日记 2025/6/2 8:26:28

父子盒子滑动事件穿透问题

问题描述当父子盒子都有滚动条时，在子盒子内滚动时，父盒子滚动子盒子无法滚动，直到父盒子滚动到底部，子盒子才滚动解决如果是vue的项目，直接在子盒子上添加 wheel.stop""...

编程日记 2025/5/27 5:45:26

vue-amap、leaflet、融汇离线地图瓦片使用情况分析

vue-amap： vue3写的，使用文档 -> 文档地址 <-的离线jsApi里的demo，发现 tile-url不能读取本地项目文件夹里的瓦片，文档里写的其实还是要互联网读取的高德瓦片......... 作者在git库回复tile-url要么放项目里使用绝对路…...

编程日记 2025/6/4 5:30:48

leetcode - 1055. Shortest Way to Form String

Description A subsequence of a string is a new string that is formed from the original string by deleting some (can be none) of the characters without disturbing the relative positions of the remaining characters. (i.e., “ace” is a subsequence of “abcd…...

编程日记 2025/6/2 10:29:59

概述