Web 安全:CSRF 攻击深入浅出

作者/分享人:蓬蒿
向 Ta 提问
白帽子,信安从业者。2013-2016某杭州信息安全院安全研发部负责人,负责《网站安全监测服务平台》(Web漏洞、敏感词、挂马、暗链等)的架构、设计与实现,熟悉常见web漏洞的渗透方式与防御方式。现为某财税平台的安全团队负责人,负责业务安全开发、安全体系建设、业务风控、API Gateway等工作。熟悉常见dubbo、hsf、spring cloud等分布式服务架构设计与开发,有兴趣可带上简历。

CSRF(XSRF)中文名为跨站请求伪造,OWASP Top 10 常见 web 漏洞之一。与 XSS 不同的是,其攻击形式为:用户首先登录一正常网站(Normal Website),正常网站向用户浏览器响应 cookie 信息,此时用户还保持在会话连接状态未对登录状态进行注销。默认情况下,用户关闭浏览器则 cookie 信息将被清除,不过可以通过修改 Cookie 的 expires 属性来设置其有效期。然后用户又打开浏览器另一标签页(tab)访问了一个恶意网站(Malicious Website),Malicious Website 会自动构造指向 Normal Website 的恶意 HTTP 请求(增删改您的重要信息)。

在实际项目开发工作中,除了一些资深开发工程师,大部分程序员对 CSRF 的认识是有很大局限性的,究其原因主要还是对其具体攻击形式与原理理解还不够深入。CSRF 攻击形式其实很简单,正因为它的简单反而容易被人忽视,因此它的危害非常巨大。本场 Chat 我将分享:

  1. CSRF 原理
  2. CSRF 攻击方式(案列分析)
  3. CSRF 防御方式(前后端分离场景下)
  4. CSRF 的 Token 安全性分析
  5. CSRF 与 XSS 的区别
已有84人预订
预订达标
文章出炉
交流日期
     
11月21日
12月05日
12月13日 20:30
你可能还喜欢
Service Mesh 在华为公有云的实践
田晓亮
从零开始,搭建 AI 音箱 Alexa 语音服务
Mike
Web 安全恩仇录:再谈逻辑漏洞
肖志华
如何用 Vue 实现前端权限控制(路由权限 + 视图权限 + 请求权限)
雅X共赏
智能增长:如何用大数据和人工智能实现业务体量的增长
蒋凡
有关 Mock 的是是非非
思考的犀牛
中国码农在硅谷:求职流程与经验分享
Mario
如何在十天内读完《算法导论》的基础算法部分?
一个不奇怪的微信网名
Serverless/FaaS 的现状与未来
王渊命
投资与创业:程序猿如何改变世界
丹华CFA
深入浅出 JS 异步处理技术方案
icepy
接口测试工具 Postman 使用实践
Storm
如何用 A/B 测试驱动产品增长?
陈冠诚
知名互联网公司校招 Java 开发岗面试知识点解析
我是最强青铜杨小强
如何成为一名出色的互联网产品经理
Kings
微信扫描登录