csrf漏洞攻击与防御简介86课件讲解.pptxVIP

csrf漏洞攻击与防御简介

引入

CATALOGUE目录CSRF攻击基本定义CSRF攻击工作原理CSRF攻击工作流程CSRF攻击防御措施

CSRF攻击的基本定义CSRF（CrossSiteRequestForgery，跨站请求伪造）沉睡中的巨人跨站请求请求伪造请求是跨不同站点的OneClickAttack恶意链接的请求网址会植入到正常的网页、邮件中，吸引用户去点击向合法服务器发送的请求来自于第三方站点合法用户点击恶意链接请求由他人恶意伪造服务器端无法区分正常的请求是否真的来自于合法用户本人的，进行正常响应用户的请求不是来自合法用户本人，而是他人恶意伪造服务器端无法区分请求来源的非法性

Cookie机制CSRF攻击的工作原理永久Cookie临时Cookie临时有效生命周期为浏览器会话期间保存在计算机的内存有效期内皆有效生命周期为Cookie有效期保存在计算机的硬盘本地CookieSessionCookie

CSRF攻击基于浏览器的Cookie机制实现：浏览并尝试登录网站A网站A的Web服务器验证用户身份后在用户的浏览器中生成Cookie用户的浏览器不关闭时Cookie是有效的，用户被诱惑访问网站BCSRF攻击的工作原理网站B的Web服务器响应用户请求，返回网站B的页面，而网站B要求用户去访问网站A网站B基于浏览器中Cookie数据保存的用户身份去访问网站A，网站A的We