《Web安全程序设计与实践》课件项目11.pptxVIP

项目11CSRF跨站伪造请求攻击

【项目描述】本项目对CSRF跨站攻击和防护进行实训。本项目包含四个任务。首先建立一个添加用户功能且具有CSRF漏洞的网站作为CSRF攻击的目标网站，然后建立一个具有CSRF攻击功能的网站，接下来通过CSRF攻击实现在目标网站新建一个用户账号，最后通过设置HTTPReferer验证和设置操作确认对话框的方式进行CSRF攻击防护。通过本项目实训，可以解释和分析CSRF攻击产生的原理和危害，能够应用设置HTTPReferer验证和设置操作确认对话框的方式防护CSRF攻击。

【知识储备】CSRF跨站攻击的原理CSRF表示CrossSiteRequestForgery(跨站伪造请求)。我们知道，当用户打开浏览器登录了一个目标网站后，在该浏览器的新建页打开目标网站的其它网页也不需要登录。这是由于浏览器为保证安全而采用的同源（即相同协议，域名和端口号）策略，只要浏览器访问的网页是同源的，便可以共享Cookie信息（同时会受到Cookie作用域的限制），不同源的Cookie不能互相访问。CSRF攻击便是利用了该策略。CSRF攻击的原理是，当用户打开浏览器登录了一个目标网站后，又使用该浏览器的新建页打开了另一个网站的网页，该网页如果含有恶意代码，便可以在用户不知情的情况下通过超链接、页面跳转等方式向目标网站提交一些伪造的表单处理请求，以达到盗用用户信息、