浅析CSRF漏洞检测、利用及防范.pdfVIP

第 50卷第 3期 通信技术 V01．50 No3 2017年 3月 CommunicationsTechnology Mar．2017 doi：10．3969／j．issn．1002-0802．2017．03．030 出 浅析CSRF漏洞检测、利用及防范 严亚萍 胡 勇 (四川大学 电子信息学院，四川成都610000) 摘 要：CSRF可在源站发起攻击，也可在引导用户访 问其他危险网站的同时发起攻击 ，是一种严 重的Web漏洞。实际中，很多web应用程序都因存在CSRF漏洞而受到攻击。CSRF的攻击方式很多． 对网站的危害也很大。通过 CSRF漏洞，攻击者会看到用户信息，甚至修改用户信息；攻击者通 过浏览用户之前浏览过的页面，并模仿用户进行一系列危险操作 ，获得用户的邮箱账号、家庭住址、 甚至是银行卡的后 4位等重要信息。因此，分析 CSRF的形成原理，讲述其漏洞检测方法，并针 对 CSRF攻击的方式 ，提 出相应的防范措施 。 关键词：跨站请求伪造 ；Web应用程序 ：检测方法；防范措施 中图分类号：TP390 文献标志码 ：A 文章编号：1002—0802(2017)03—0558—07 AnalysisofCSRFVulnerabilityDetection，UtilizationandPrevention YANYa—ping，HUYong (CollegeofElectronicsandInformationEngineering，SichuanUniversity，ChengduSichuan610000，China) Abstract：CSRFmaylaunchattackatthesourcewebsite．orlaunchanattackwhileguidingusertovisit otherdangeroussites，anditisaseriousW ebvulnerability，manyWebapplicationsarevulnerabletoattacks． CSRFhaslotsofattackmode．Anddoesseriousharm tosites．Byexploiting CSRFvulnerabilitytheattacker mayseetheuserSinformation，oreventamperwiththeusers information，theattackerbybrowsesthe pagesbrowsedbeforebytheusers，imitatestheuserSbehavioranddoesaseriesofdangerousoperation，and fianllyrealizesaccesstotheuserse-mailaccount，homeaddress，andeventhelast4importantnumberson thebankingcard．PrincipleofCSRFisanalyzed，vulnerabilitydetectiondescribed，andthecorresponding preventivemeansagainstCSRFattackmodesuggested． Keywords：CSRFvulnerability；W ebapplication；detectionmethod；preventivemeans 0 引 言 Web的身份验证机制虽然可以保证某个请求来 自于 某个用户的浏览器，但却无法保证该请求是用户批 互联网的普及 以及 Web应