[CSRF+SSRF]案例讲解

CSRF

CSRF是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。
当用户访问含有恶意代码的网页时,会向指定正常网站发送非本人意愿的数据请求包（如转账给hack,向hack发送API等）如果此时用户恰好登录了该正常网站（也就是身份验证是正常的）就会执行该恶意代码的请求，从而造成CSRF。
与在XSS章节中提到的在博客里写入获取cookie的代码，在管理员登录后台查看时就会窃取其cookie有异曲同工之妙
跟跨网站脚本（XSS）相比，XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。
CSRF可用来修改用户信息，添加管理员账号密码，更改管理员密码等操作
数据包来源：大部分是通过本地搭建和目标网站相同源码，抓包分析。

注意网站功能更新添加删除等

防御
增加验证码机制，增加带有大量噪点的验证码，杜绝代码能够识别的简单验证码，当然了也经常被绕过

验证referer,采用同源政策，referer记录着数据包的来源地址，来判断请求的合法性，但是这个可以伪造
使用Token，令牌是一种将表单value的加密算法生成不同的加密结果，在服务器端进行验证。
在访问登录过一个网站，点击退出账户。

SSRF

又名服务端请求伪造攻击

有的大型网站在web应用上提供了从其他服务器获取数据的功能。使用户指定的URL web应用获取图片，下载文件，读取文件内容。攻击者利用有缺陷的web应用作为代理攻击远程和内网的服务器（跳板）没有对目标地址做过滤与限制
危害：
可对外网，服务器所在内网，受控服务器进行端口扫描，获取一些banner
对内网web应用进行指纹识别，通过访问默认文件实现
攻击内外网web应用，主要是使用get参数就可以实现分攻击
利用file协议读取本地文件

例子

服务器自己请求自己

通过远程请求的方式，访问内网其他服务器。

修复方案：

过滤返回信息，如果web应用数去获取某一类型文件，在把结果返回给用户之前先验证信息是否符合标准。
例如：当攻击者利用"识别图片"下的该漏洞远程包含一个文件，可以通过在服务器上验证返回数据是否是纯像素，来进行过滤。
统一错误页
限制请求端口为http常用端口 80,443,8080,8090
内网IP黑名单，避免应用被用来获取内网数据，攻击内网

[CSRF+SSRF]案例讲解相关推荐

29.CSRF及SSRF漏洞案例讲解
文章目录 CSRF&SSRF---漏洞案例讲解 1. CSRF---跨站请求伪造攻击 CSRF漏洞解释,原理导图原理详解 CSRF漏洞检测,案例,防御防御方案 2. SSRF(服务器端请 ...
Shiro 核心功能案例讲解基于SpringBoot 有源码
Shiro 核心功能案例讲解基于SpringBoot 有源码从实战中学习Shiro的用法.本章使用SpringBoot快速搭建项目.整合SiteMesh框架布局页面.整合Shiro框架实现用身份认 ...
oracle 运维案例,运维注意事项及案例讲解（个人心得）
应客户要求,需要写一篇<数据库运维注意事项和案例讲解>,正好自己也可以把近来这段时间中碰到的运维问题总结一下.同时也分享给大家.记之 ---------------------- 1.数据 ...
十三、MySQL存储过程相关知识总结 + 案例讲解（强化）
一.存储过程VS函数存储过程和函数:类似于java中的方法好处: 1.提高代码的重用性 2.简化操作二.存储过程含义:一组预先编译好的SQL语句的集合,理解成批处理语句 1.提高代码的重用性 ...
JavaScript的三大基本操作案例讲解
JavaScript是一种用于创建和控制动态网站内容的编程语言,是开发交互式Web界面的最佳选择之一.那么,其交互性体现在哪些方面?如何实现基本的交互式操作? 下面我们一起来深入学习一下 JavaSc ...
传智播客C语言视频第二季(第一季基础上增加诸多C语言案例讲解，有效下载期为10.5-10.10关闭
分享一下我老师大神的人工智能教程!零基础,通俗易懂!http://blog.csdn.net/jiangjunshow 也欢迎大家转载本篇文章.分享知识,造福人民,实现我们中华民族伟大复兴! 卷 ba ...
传智播客C语言视频第二季(第一季基础上增加诸多C语言案例讲解，有效下载期为10.5-10.10关闭)
卷 backup 的文件夹 PATH 列表卷序列号为 00000025 D4A8:14B0 J:. │ 1.txt │ c语言经典案例效果图示.doc │ ├─1传智播客_尹成_C语言从菜鸟到 ...
传智播客C语言视频第二季(第一季基础上增加诸多C语言案例讲解，有效下载期为10.5-10.10关闭)...
卷 backup 的文件夹 PATH 列表卷序列号为 00000025 D4A8:14B0 J:. │ 1.txt │ c语言经典案例效果图示.doc │ ├─1传智播客_尹成_C语言从菜鸟到 ...
传智播客C语言视频第二季第一季基础上增加诸多C语言案例讲解，有效下载期为10 5-10 10关闭
分享一下我老师大神的人工智能教程.零基础!通俗易懂!风趣幽默!还带黄段子!希望你也加入到我们人工智能的队伍中来!https://blog.csdn.net/jiangjunshow 卷 backup ...

[CSRF+SSRF]案例讲解

[CSRF+SSRF]案例讲解相关推荐

最新文章

热门文章