13. 跨站请求伪造.pdfVIP

信息系统安全与对抗实践 跨站请求伪造 内容提要 • CSRF简介 • DVWA CSRF 2 CSRF简介 • 跨站请求伪造（CSRF, Cross-site request forgery） -是指利用受害者尚未失效的身份认证信息（cookie、会话等），诱骗其点 击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受 害者的身份向（身份认证信息所对应的）服务器发送请求，从而完成非法 操作（如转账、改密等）。 -CSRF与XSS最大的区别在于，CSRF并没有盗取cookie而是直接利用。 3 DVWA CSRF （ ） • DVWA CSRF Low -服务器接收到修改密码的请求后，检查$pass_new与$pass_conf变量是否 相同，如果相同就更改密码。并没有任何防范CSRF攻击的措施。 -攻击方法 • 构造URL请求 • 使用短链接 • 构造页面 4 DVWA CSRF • Medium级别 -stripos( )函数查找字符串在另一字符串中第一次出现的位置（不区分大小写）。 -$_SERVER[ ‘HTTP_REFERER’ ] 获取HTTP头中的referer字段，表示本 次访问的来源。 -$_SERVER[ ‘SERVER_NAME’ ] 表示HTTP头中的host字段，表示要访问 服务器的主机名。 -通过检查本次访问的来源是否是本主机来抵御CSRF攻击。 -绕过方法 • 在页面后使用查询参数构造服务器地址 • 更改页面的名字为服务器地址 5 DVWA CSRF • High级别 -在Medium基础上使用Anti-CSRF技术，验证token值来防御CSRF -攻击思路 • 在提交请求之前获取Token值，然后构造表单并提交。 • 同源策略，跨域访问限制，结合XSS漏洞，将请求代码插入到该网站 中，即将跨域访问变为同域访问。 6 DVWA CSRF • Impossible级别 -要求输入现在的密码，并进行验证。 -并且使用PDO技术防止SQL注入。 7