什么是CSRF攻击?CSRF攻击原理是什么?
最后更新 :2023.01.28
什么是CSRF攻击?
CSRF攻击是通过强制用户登录到攻击者控制的账户来策划的。为了达到这一目的,黑客使用他们的凭证向网站伪造一个状态改变请求,并将表单提交到受害者的浏览器。服务器对浏览器请求进行身份验证,并将用户登录到攻击者的账户。当受害者向攻击者的账户提交正在登录的敏感信息时,攻击者可以利用这些信息执行一些不必要的操作,包括身份盗窃。
有哪些攻击原理?
CSRF一般的攻击原理是,攻击者向目标网站注入一个恶意的CSRF攻击URL地址(跨站url),当(登录)用户访问某特定网页时,如果用户点击了该URL,那么攻击就触发了,我们可以在该恶意的url对应的网页中,利用 来向目标网站发生一个get请求,该请求会携带cookie信息,所以也就借用了用户的身份,也就是伪造了一个请求,该请求可以是目标网站中的用户有权限访问的任意请求。也可以使用javascript构造一个提交表单的post请求。比如构造一个转账的post请求。
所以CSRF的攻击分为了两步,首先要注入恶意URL地址,然后在该地址中写入攻击代码,利用 等标签或者使用Javascript脚本。
那么,该如何防御CSRF攻击?
1.尽量使用POST,限制GET
GET接口太容易被拿来做CSRF攻击,只要构造一个img标签,而img标签又是不能过滤的数据。因此,接口最好限制为POST使用,GET则无效,降低攻击风险。
当然POST并不是万无一失,攻击者只要构造一个form就可以,但需要在第三方页面做,这样就增加暴露的可能性。
2.浏览器Cookie策略
IE6、7、8、Safari会默认拦截第三方本地Cookie(Third-party Cookie)的发送。但是Firefox2、3、Opera、Chrome、Android等不会拦截,所以通过浏览器Cookie策略来防御CSRF攻击不靠谱,只能说是降低了风险。
Cookie分为两种:一种是Session Cookie(在浏览器关闭后,就会失效,保存到内存里);另一种是(即只有到了Exprie时间后才会失效的Cookie,这种Cookie会保存到本地)。
另外如果网站返回HTTP头包含P3P Header,那么将允许浏览器发送第三方Cookie。
3.加验证码
验证码,强制用户必须与应用进行交互,才能完成最终请求。在通常情况下,验证码能很好遏制CSRF攻击。但是出于用户体验考虑,网站不能给所有的操作都加上验证码。
因此验证码只能作为一种辅助手段,不能作为主要解决方案。
3.Referer Check
Referer Check在Web最常见的应用就是“防止图片盗链”。同理,Referer Check也可以被用于检查请求是否来自合法的“源”(Referer值是否是指定页面,或者网站的域),如果都不是,那么就极可能是CSRF攻击。
因为服务器并不是什么时候都能取到Referer,所以也无法作为CSRF防御的主要手段。但用Referer Check来监控CSRF攻击的发生,倒是一种可行的方法。
5、Anti CSRF Token
现在业界对CSRF的防御,一致的做法是使用一个Token(Anti CSRF Token)。
每一个网页包含一个web server产生的token,提交时,也将该token提交到服务器,服务器进行判断,如果token不对,就判定位CSRF攻击。
这个Token的值必须是随机的,不可预测的。由于Token的存在,攻击者无法再构造一个带有合法Token的请求实施CSRF攻击。另外使用Token时应注意Token的保密性,尽量把敏感操作由GET改为POST,以form或AJAX形式提交,避免Token泄露。
- END -
攻击者隐藏踪迹的5种方式
从受信任的渗透测试工具到LOLBIN(living-off-the-land binaries),攻击者正在通过滥用受信任...
隐秘的战争:中国网络安全发展大事记
隐秘的战争:中国网络安全发展大事记今年,黑客和网络攻击这两个词频频出现在我们的视野中。...
年底还找不到工作建议进厂?建议不要听专家的建议,看这篇就有方向了
情叠加经济衰退,今年就业已经成了让政府头疼的一个大问题。一方面一千多万的大学毕业生...
针对SaaS应用的自动化勒索软件攻击出现了
针对SaaS应用的自动化勒索软件攻击出现了作者:时间:2023-06-16 14:26:12网络安全培训 ...
什么是攻击取证与溯源分析工程师
什么是攻击取证与溯源分析工程师攻击取证与溯源分析工程师是网络安全大方向下网络安全应...
新东方教培转战直播 IT男也要做两手准备
沉寂许久的新东方,近日凭借双语直播带货,冲上微博热搜的同时,也刷屏朋友圈。6月10日,新东方...
网盾安全学院“国风班”来袭!汉服与科技碰撞,用侠客精神书写不一样的“网安江湖”
曾梦想仗剑走天涯很多人都有这样一段相同的经历,儿时看着武侠剧,听着那句侠之大者,为国为民...
内鬼作祟!美国新闻业遭受大规模供应链攻击,数百家报纸网站被“挂马”
内鬼作祟!美国新闻业遭受大规模供应链攻击,数百家报纸网站被“挂马”据新闻11月3日报道:有...
网络安全工程师好就业吗?网络安全工程师就业前景如何?
网络安全工程师也叫信息安全工程师。随着互联网的发展和IT技术的普及,网络和IT已经逐渐渗...
工业工程专业想转行,做什么工作更有前景?
伴随着这几年的经济下行,国家的发展方向也逐渐发生变化。工业工程作为老牌的传统行业,在...
网络安全工程师的智商是怎么“被安排”的
网络安全工程师的智商是怎么被安排的今天你刷抖音、B站、小红书了么?你有多久没看书了?现...
养老金收不抵支,学网络安全赢在未来
养老金收不抵支 未来你怎么办?你知道未来养老金的来源是什么吗?我们每个人工作后,都会缴纳...
使用Paypal注意了,小心被黑客劫持攻击
PayPal是一个总部在美国加利福尼亚州的全球在线支付服务商。主要可以用于国际用户之间的...
为什么学习网络安全?网络安全的“钱途”怎么样?
当前,随着互联网技术的普及和日益发展,网络安全已经成为了我们所面临的一个重要问题。网络...
萝莉岛事件再次发酵,让我想起那位“英雄黑客”
萝莉岛事件再次发酵,让我想起那位“英雄黑客”最近,灯塔国大选在即,萝莉岛事件再...
微软布局网络安全零信任
微软布局网络安全零信任微软在不久前举行的Microsoft Ignite 2023大会上,发布了零信任战...
什么是FTP服务器?有哪些作用?
什么是FTP服务器?FTP服务器(File Transfer Protocol Server)是在互联网上提供文件存储和...
如果屈原懂一点网络安全技术,就不用跳江了
如果屈原懂一点网络安全技术,就不用跳江了又逢端午,遥祭屈原。一个人与一个节日、一种民俗...
遭遇勒索软件攻击该怎么办?
勒索软件已被许多人视为组织面临的最具威胁性的网络安全风险,2019年,超过50%的企业受到勒索软件攻击,估计损失了115亿美元。仅在去年12月,包括佳能、Garmin、柯尼卡美能达和嘉年华在内的主要消费者公司就成为主要勒索软件...
什么是安全合规风控咨询师
什么是安全合规风控咨询师安全合规风控咨询师是网络安全大方向下网络安全合规与管理岗的...
20届还没找到工作的同学,现在该如何快速自救?!
2020年,这届毕业生,难!还没找到工作的2020届毕业生,到底该怎么办?2020届毕业生:我们实在太难了...
0基础计算机网络安全方向怎么学
0基础计算机网络安全方向怎么学作者:时间:2023-08-14 17:03:20网络安全培训 网络安全...
2022年不断扩大的网络威胁攻击面
在过去的一年里,网络犯罪出现了空前增长。Fortinet研究表明,在2020年7月至2021年6月之间的...
内卷时代,高考后该怎么选专业
经济增速放缓 具体应该怎么去选专业首先声明,这篇不是恰饭文,都是发自肺腑为你们好的干货!...
什么是安全产品售前工程师
什么是安全产品售前工程师安全产品售前工程师是网络安全合规管理类岗位下的一个子类别。...
黑客以800美元的价格出售5000万条莫斯科司机数据记录
据bleepingcomputer网站报道,黑客正在某地下论坛出售一个包含5000万条莫斯科司机数据记录的数据库,售价800美元。据购买该数据库的俄罗斯媒体称,他们购买了一小部分样本,显示数据所示年份在 2006 年至 2019 年之间,某些内...
网盾将与奇安信联合开展QCCA认证培训
基于国家网络空间安全战略,围绕企业用户的网络安全人才需求,实现应用型网络安全人才能力的...
湖北武汉网络安全培训中心-渗透测试教程-网盾科技推荐就业
网络安全绝不是简单安装一个杀毒软件就可以解决的。在阻断病毒的过程中,网络攻击会不断升...
深度伪造技术将引发的网络安全问题
人工智能是一把双刃剑,它带来的不仅仅是便利,还有不断增强的安全威胁。越来越多成熟的人工...
什么是渗透测试和安全测试?有什么区别呢?
什么是渗透测试和安全测试?有什么区别呢?很多想入行网络安全的小伙伴们都很容易把渗透测...
什么是区块链安全?
什么是区块链?区块链,就是一个又一个区块组成的链条。每一个区块中保存了一定的信息,它们按...
网络安全培训完就业一般,为什么还有那么多人学?
网络安全培训完就业一般,为什么还有那么多人学?这个问题经常有人问,那我们就好好解答下同学...
高考季的永恒话题,年轻人该学什么
今天是高考的第一天。先预祝大家,取得好成绩!提笔的时候,盾叔想起了自己多年来经常重复着高...
网络安全需要学哪些课程呢?学网络安全需要什么基础?
随着互联网的快速发展,网络安全问题变得越来越突出。黑客攻击、网络钓鱼、恶意软件等威胁...
地震局事件警示 武汉网络安全工程师培训很重要
地震局事件警示 武汉网络安全工程师培训很重要作者:时间:2023-08-04 17:16:18网络安全培...
什么是网络安全培训?网络安全培训内容有哪些?
网络安全是现在互联网时代不可或缺的,相信有很多人都经历过资料外漏,或者经历过互联网诈骗...
苹果用户警惕这款黑客程序
苹果用户警惕这款黑客程序看来,MAC系统也没有想象中安全了。最近,Malwarebytes(反恶意软件...
澳门健康码持续遭受境外攻击,数百万海外IP难以侦查,始作俑者竟是“他”
澳门健康码持续遭受境外攻击,数百万海外IP难以侦查,始作俑者竟是“他”据《澳门日报》15...
cos扎克伯格?人大高材生因数据泄露面临“踩缝纫机”
近日,一名人大毕业生利用在校期间职务之便盗取学校内网数据,收集全校学生个人信息,制作颜...
无数苹果用户被盗刷 究竟是人性的扭曲还是黑客技术的进步?
一个小时被刷了5万、十几分钟被盗2万4,20分钟被盗刷1万4、凌晨四点香港异地登录被盗刷1...
毕业旅行的夏天怎么过,来湖北武汉找网盾来学习网络安全吧!
我刚大学毕业,想好好安排一下自己的毕业旅行。于是兴高采烈开始搜索“2021年暑假去哪儿玩...
网盾带你读好书之——“圣经”《TCP/IP详解卷一》
这本书是TCP/IP领域的经典之作。被称为计算机的圣经书籍,书中主要讲述TCP/IP协议,作者不仅...
连特斯拉都在裁员,如今的年轻人只能打零工?
6月2日,路透社报道称,其获取到了一封马斯克写给特斯拉管理层的邮件,邮件名为《暂停全球所有...
有这个证书,网络安全工程师找工作不用愁
想要成为网络安全工程师,满足企业的用人要求。最基本的,你需要熟悉TCP/IP协议,熟悉sql注入...
网络安全培训出来为什么好找工作?
盾叔最近看到一个问题,问网络安全培训出来为什么好找工作?在解释这个问题之前,我们应该先要...
认识Linux操作系统
任务一 查找Linux系统的基本概况第一步:通过搜索引擎搜索”Linux“Linux是一套免费使用和自由传播的类Unix操作系统,是一个基于POSIX和UNIX的多用户、多任务、支持多线程和多CPU的操作系统。它能运行主要的UNIX工具软...
企业网络安全培训方案怎么写?一篇文章教会你
企业网络安全培训方案怎么写?一篇文章教会你随着数字化转型的推进,企业面临着越来越复杂和...
一级域名与二级域名之间的区别
什么是一级域名一级域名又称为顶级域名,顶级域名又分为两类:一是国家顶级域名,200多个国家都按照ISO3166国家代码分配了顶级域名,例如中国是cn,美国是us,日本是jp等;值得注意的是,www. http://wangdun.cn这种形式的域名并不是...
努力方向对了的张朝阳都做了什么
努力方向对了的张朝阳 都做了什么这两天,一则张朝阳劝年轻人不要努力过头的新闻刷屏,这位...
网络战要来了吗?我国上百重要系统被木马“酸狐狸”攻击
近期,中国多家科研机构先后发现了验证器木马程序的活动痕迹。这让人不禁联想到西工大事件...
一文了解新概念“网络安全网格”
一文了解新概念“网络安全网格”作者:时间:2023-09-08 14:58:22网络安全培训 网络安...
it行业内卷后,网络安全人才紧缺,武汉这学院学生成“香饽饽”!
这两年,随着信息技术的飞速发展,各类新技术、新产业不断涌现,给生活带来大便利的同时,也给信...
网络安全学习网站这么多?到底选哪几个比较好
网络安全学习网站这么多?到底选哪几个比较好选择网络安全学习网站取决于您的学习需求、技...
微软被16岁男孩攻击后!网络安全师遭“哄抢”,成众多企业守护神
最近,网络安全圈子又出了一件大事,黑客组织Lapsus$黑进了微软,他们声称,从微软内部的Azure D...
网络安全怎么找工作?一文带你读懂网络安全专业
网络安全怎么找工作?一文带你读懂网络安全专业作者:时间:2023-07-27 16:13:24网络安全培训...
什么是网络安全中的供应链攻击?
“供应链”这个概念对于不同的行业可以有不同的含义。在网络安全中可以解释为相互链接...
什么是DDoS攻击?
DDoS攻击的定义分布式拒绝服务攻击(英文意思是Distributed Denial of Service,简称DDoS)是...
安全行业资料泄露:企业该如何保护源码?
这是有史以来最大范围的一次源代码泄露。微软、Adobe、联想、AMD、高通、联发科、通用电...
警惕!攻击者偏爱的6大默认配置攻击“宿主”
默认配置可能会存在大量安全漏洞。为了您的网络安全,以下是6个需要慎重检查的产品和服务...
什么是应急响应工程师
什么是应急响应工程师应急响应工程师是网络安全大方向下网络安全运行与维护岗的一个细分...
文科生都是服务业,那网络安全是什么性质的行业?
文科生都是服务业,那网络安全是什么性质的行业?近日,网红考研名师张雪峰说:所有文科都叫服务...
零日漏洞事件频频发生,该如何防范?
据BleepingComputer报道,攻击者利用GeneralBytes旗下比特币ATM服务器中的零日漏洞从客户...
34万个人隐私遭泄露,受害者漠不关心,却将网络安全推上就业热门
据悉,截至2021年12月,我国网民规模达10.32亿,较2020年12月增长4296万,互联网普及率达73.0%。...
网络安全工程师必用的6个渗透工具,专业工具渗透工作更好做!
渗透测试是通过模拟恶意黑客的攻击方法,来评估计算机网络系统安全的一种评估方法。同时,网络所有者根据渗透人员提供的渗透测试报告,可以清晰知晓系统中存在的安全隐患和问题。在这些过程中除了需要渗透测评师的技术还需...
毕业季,计算机专业应届毕业生应该何去何从
近期大学生纷纷进入就业热潮,但对于现阶段的应届毕业生来说找工作是一件特别苦恼的事情,因...
拥有一个网络安全工程师老公有多香?
我老公是网络安全工程师。你可能觉得网络安全工程师是这样的。或者,这样。但其实,我老公是...
怎样高效开展网络安全事件调查
怎样高效开展网络安全事件调查作者:时间:2023-08-08 15:21:29网络安全培训 网络安全...
渗透测试之跨站脚本攻击漏洞
跨站脚本漏洞概述跨站脚本攻击,俗称xss,通常指利用网站漏洞从用户处获取隐私信息。跨站脚...
全球数百万用户恐遭信息泄露,罪魁祸首竟是“它”
近日,安全研究人员发现,MICODUS MV720 GPS设备存在诸多高风险漏洞,数百万用户分布在世界169...
渗透测试与漏洞扫描有什么区别?前景如何?
渗透测试与漏洞扫描有什么区别?前景如何?相信大家在学习网络安全的时候都有了解渗透测试...
针对于file_put_contents的一些小技巧
File_put_contents函数中遇见exit();的绕过技巧1. 搭建环境代码?php header(#34;Content...
什么是系统安全需求分析师?
什么是系统安全需求分析师?系统安全需求分析师是网络安全大方向下网络安全规划与设计岗方...
等保2.0涉及的PostgreSQL数据库(中)
应对登录的用户分配账户和权限针对这个测评项,首先我们要搞清楚postgresql数据库的相应权...
“黑客帝国”作恶10年!数亿公民隐私“裸奔”,网络安全责任重大
2022年3月以来,360集团连续发布美国国家安全局对全球以及我国进行网络攻击的相关报告,展示...
这九种常见的恶意软件 企业一定要防
这九种常见的恶意软件 企业一定要防恶意软件是旨在破坏 IT 系统、泄露私人信息或以某种...
网络安全在人工智能时代的发展趋势
网络安全在人工智能时代的发展趋势2023年,生成式AI技术的崭露头角给全球网络安全带来了更...
2024 ,IT人的就业机会在哪里?
2024 ,IT人的就业机会在哪里?2023年的最后两天。你用什么样的心情去迎接2024年呢?回看今年,...
5G网为网络战争提供的那些“可能”
5G网络具有高速率的技术特点。相比4G,其数据传输速率快100倍,最高可达10Gbit/s,让终端用户...
年终了,这个退税邮件千万别点!
年终了,这个退税邮件千万别点!最近,一位名叫刘女士的外地市民在上班时收到了一封名为&ldquo...
我为什么要做攻城狮而不是程序猿
我大学学的是计算机专业,大四毕业就找了个程序猿的工作。两年之后,我带着做程序猿赚的一些...
七七事变85周年 日本又在筹备新的网络攻击?
1937年7月7日夜,日军在北平卢沟桥附近演习时,借口一名士兵失踪,要求进入宛平县城搜查,遭到中...
什么是“身份识别与访问管理”,产品与企业有哪些
身份识别与访问管理,IAM(Identity and Access Management 的缩写),即具有单点登录、强大的认...
网络安全人才薪资待遇这么好,为什么却成了企业最难留住的员工?
盾叔学院的一批学生在上课时突然问了一个问题:目前市面上网络安全的岗位薪资确实很高,但是...
干货分享 | linux系统行为新型实时监控技术
导语:主要是从系统日常行为安全的角度分享一种能满足线上部署、能够将进程或文件创建、网...
网络安全就业前景怎么样?网络安全工程师多少钱一个月?
网络安全工程师是当今互联网行业中备受瞩目的职业之一。随着网络安全问题的不断增加,对于...
免费SSL证书与收费SSL证书有什么区别?
随着SSL证书的普及,提供免费SSL的CA机构已经开始出现,并且越来越多的CA机构提供了自己的免费SSL证书来吸引用户,但是许多人不可避免地会遇到这样的疑问:免费SSL证书和付费SSL证书之间的区别?既然有免费SSL证书,为什么我应...
老师嘴里必考的网络安全知识点
大家好,盾叔今天又来给大家做干货分享咯,要是大家想了解哪些方面的知识技巧,可以在评论或者...
物联网安全产品和企业有哪些
如今,物联网已经渗透进我们衣食住行的各个领域,频发的智能设备攻击威胁着个人的隐私安全,关...
网络安全发展前景怎么样?如何成为一名优秀的网络安全工程师呢?
我国从如今的信息时代慢慢进入数字经济时代,数字经济已成为我国经济发展的新引擎。但数字...
辞职转行学IT,学网络安全运维可以吗?
辞职转行学IT,学网络安全运维可以吗?作者:时间:2023-08-09 16:37:19网络安全培训 网络...
努力却不能成功,真的是你的问题吗?
努力却不能成功, 真的是你的问题吗?很多人都听过一个成功学定律1万小时定律,即1万小时的锤...
什么是网络安全?网络安全专业好找工作吗?
什么是网络安全?网络安全专业好找工作吗?作者:时间:2023-07-17 17:30:36网络安全培训 ...
Linux服务器被入侵后,我们该如何排查隐患
看了看前几天的内容,发现有几天没有给大家整点干货了,正寻思着给大家整点啥,冥思苦相不得解...
软件测试和渗透测试有什么区别?发展前景如何?
近年来,随着我国互联网产业的不断发展,应用的复杂度和集成性也越来越高。从而对测试人员...
什么是渗透测试工程师
什么是渗透测试工程师渗透测试工程师是网络安全大方向下网络安全应急与防御岗的一个细分...
什么是可信计算?
什么是可信计算?可信计算,即Trusted Computing,简称TC,是由TCG(可信计算组)推动和开发的技术。...
警惕这个微信!每个人通讯录都有它!女子主动发消息反被骗9年,腾讯公开回应了!
警惕这个微信!每个人通讯录都有它!女子主动发消息反被骗9年,腾讯公开回应了!很多人习惯使用&...
什么是工控安全?工控安全有哪些隐患
工业控制系统的定义工业控制系统是对诸如图像、语音信号等大数据量、高速率传输的要求,又...
“疫情时代”逐渐结束,经济复苏拐点已至,普通人如何借势发展?
回顾2022年,疫情肆虐,消费停滞,出口受阻,债市震荡,货币和大宗商品暴跌,市场动荡不断。让我们...
学网络安全为什么培训好?
学网络安全为什么培训好?根据最新版网络安全产业人才发展报告指出,在疫情常态化后,国内经济...
- 数据加载中,请稍后...