CSRF（Cross-site request forgery），中文名称：跨站请求伪造.
因为这个不是用户真正想发出的请求，这就是所谓的请求伪造;因为这些请求也是可以从第三方网站提交的，所以前缀跨站二字。

CSRF发生的场景如下图所示:

用户登录访问了一个受信任的站点，
在用户还没有退出登录的时候，打开另外一个tab页，访问了网站B。
在B网站中，有CSRF攻击代码访问网站A。
发生的原因是，网站是通过cookie来识别用户的，当用户成功进行身份验证之后浏览器就会得到一个
标识其身份的cookie，只要不关闭浏览器或者退出登录，以后访问这个网站会带上这个cookie。
1.登录受信任网站A，并在本地生成Cookie。
2.在不登出A的情况下，访问危险网站B。
你也许会说：“如果我不满足以上两个条件中的一个，我就不会受到CSRF的攻击”。
是的，确实如此，但你不能保证以下情况不会发生：
1.你不能保证你登录了一个网站后，不再打开一个tab页面并访问另外的网站。
2.你不能保证你关闭浏览器了后，你本地的Cookie立刻过期，你上次的会话已经结束。
（事实上，关闭浏览器不能结束一个会话，但大多数人都会错误的认为关闭浏览器就等于
退出登录/结束会话了）如记住密码功能等。
3.上图中所谓的攻击网站，可能是一个存在其他漏洞的可信任的经常被人访问的网站。
下面来看一个代码实例，在网站A发布了下面的代码
用户login，然后可以在input.jsp提交数据，提交的数据被dataupdate.jsp更新到后台。
dataupdate.jsp会检查用户是否登录，如果没有登录会跳到login.jsp要求用户登录。

login.jsp

<body>

<form action="input.jsp" method="post">

name<input type="text" name="name" size="50"><br>

pwd<input type="password" name="password" size="50"><br>

<input type="submit" value="submit">

</form>

<br>

</body>

</html>

input.jsp

<body>

<%

    //Session session = request.getSession();

    String username = (String)session.getValue("username");

    System.out.println("username " + username);

    if(null==username){

        String uname = request.getParameter("name");

        session.putValue("username", uname);

    }

%>

<form action="dataupdate.jsp" method="post">

<input type="text" name="comment" size="50"><br>

<input type="submit" value="submit">

</form>

<br>

</body>

dataupdate.jsp

<body>

<%

    String username = (String)session.getValue("username");

    System.out.println("username " + username);

    if(null==username){

        System.out.println("has not logged in");

        response.sendRedirect("login.jsp");

    }else{

        String comment = request.getParameter("comment");

        System.out.println("add a comment: " + comment);

        out.write("comment is : " + comment);

    }

%>

</body>

</html>

表面上看起来好像没有问题。
假设我们有另外一个网站B，它有一个网页文件如下
如果在用户登录访问网站A的同时访问了网站B，访问者在网站A的数据就会被假冒更新。
可以在后台看到有如下的输出:add a comment: fromcsrf

<body>

use a img element to send a get request <br>

<img src="http://www.a.com/prjWebSec/csrf/dataupdate.jsp?comment=fromcsrf">

</body>

</html>

这里网站A违反了HTTP规范，使用GET请求更新资源。那是不是用post请求就不会发生CSRF呢?
结果是同样会发生。可以通过构造javascript构造form提交，如下面的代码

<body >

</body>

    <script type="text/javascript">

        var frm= document.getElementById("viframe");

        function sendcsrf()

        {

            var form1 = document.createElement("form");

            form1.id = "form1";

            form1.name = "form1";

            document.body.appendChild(form1);  

            var input = document.createElement("input");

            input.type = "text";

            input.name = "comment";

            input.value = "from csrf post";  

            form1.appendChild(input);

            form1.method = "POST";

            form1.action = "http://www.a.com/prjWebSec/csrf/dataupdate.jsp";

            form1.submit();

            document.body.removeChild(form1);

        }

        sendcsrf();

　　　　</script>

</html>

防止方法：
1、利用referer判断，
　　但是用户有可能设置浏览器使其在发送请求时不提供 Referer，这样的用户也将不能访问网站。
2、在请求中添加 token 并验证
　　关键在于在请求中放入黑客所不能伪造的信息，并且该信息不存在于 cookie 之中，
可以在服务器端生成一个随机码，然后放在form的hidden元素中，form提交的时候在服务器端检查。

web安全之跨站请求伪造的更多相关文章

  1. Web安全测试之跨站请求伪造（CSRF）篇

    跨站请求伪造(即CSRF)被Web安全界称为诸多漏洞中“沉睡的巨人”,其威胁程度由此“美誉”便可见一斑.本文将简单介绍该漏洞,并详细说明造成这种漏洞的原因所在,以及针对该漏洞的黑盒测试与灰盒子测试具体 ...

  2. CSRF(跨站请求伪造)攻击方式

    一.CSRF是什么? CSRF(Cross-site request forgery),中文名称:跨站请求伪造,也被称为:one click attack/session riding,缩写为:CSR ...

  3. 浅谈CSRF(跨站请求伪造)攻击方式

    一.CSRF是什么? CSRF(Cross-site request forgery),中文名称:跨站请求伪造,也被称为:one click attack/session riding,缩写为:CSR ...

  4. web前端安全 XSS跨站脚本 CSRF跨站请求伪造 SQL注入

    web安全,从前端做起,总结下web前端安全的几种技术: 1,XSS XSS的全称是Cross Site Scripting,意思是跨站脚本,XSS的原理也就是往HTML中注入脚本,HTML指定了脚本 ...

  5. Web框架之Django_09 重要组件（Django中间件、csrf跨站请求伪造）

    摘要 Django中间件 csrf跨站请求伪造 一.Django中间件: 什么是中间件? 官方的说法:中间件是一个用来处理Django的请求和响应的框架级别的钩子.它是一个轻量.低级别的插件系统,用于 ...

  6. Web框架之Django重要组件（Django中间件、csrf跨站请求伪造）

    Web框架之Django_09 重要组件(Django中间件.csrf跨站请求伪造)   摘要 Django中间件 csrf跨站请求伪造 一.Django中间件: 什么是中间件? 官方的说法:中间件是 ...

  7. Web安全相关（一）：CSRF/XSRF(跨站请求伪造)和XSS(跨站脚本)

    XSS(Cross Site Script):跨站脚本,也就是javascript脚本注入,一般在站点中的富文本框,里面发表文章,留言等表单,这种表单一般是写入数据库,然后再某个页面打开. 防御: 1 ...

  8. Web安全之CSRF（跨站请求伪造）

    CSRF(跨站请求伪造)概述 Cross-site request forgery 简称为"CSRF",在CSRF的攻击场景中攻击者会伪造一个请求(这个请求一般是一个链接),然后欺 ...

  9. web 安全 & web 攻防: XSS（跨站脚本攻击）和 CSRF（跨站请求伪造）

    web 安全 & web 攻防: XSS(跨站脚本攻击)和 CSRF(跨站请求伪造) XSS(跨站脚本攻击)和CSRF(跨站请求伪造) Cross-site Scripting (XSS) h ...

随机推荐

  1. Codeforces 735 E Ostap and Tree

    Discription Ostap already settled down in Rio de Janiero suburb and started to grow a tree in his ga ...

  2. (转) go Cron的使用

    Cron表达式是一个字符串,字符串以5或6个空格隔开,分为6或7个域,每一个域代表一个含义,Cron有如下两种语法格式: Seconds Minutes Hours DayofMonth Month ...

  3. 如何快速的知道Maven插件的命令行输入参数

    用命令行使用Maven的插件时,-D表示属性的输入,-P表示构建配置文件的输入. 比如要使用package生命周期阶段对Application项目进行打包jar时,查找方式如下: 1.由于packag ...

  4. oracle内核学习总结

    http://blog.csdn.net/bcbobo21cn/article/category/3092145/1

  5. 三角网格上的寻路算法Part.1—Dijkstra算法 等

    http://www.cnblogs.com/chnhideyoshi/p/AStar.html

  6. ORACLE 内部原理

    http://www.ohsdba.cn/index.php?m=Article&a=index&id=46 内部原理 2016-05-04• 如何使用BBED 2016-04-16• ...

  7. argument to nsmutablearray method addobject cannot be nil 警告

    You cannot add nil to an NSMutableArray, and you will raise an exception if you try to. There's NSNu ...

  8. AppCompatActivity

    刚开始看HelloWorld的目录结构然后就发现Android Studio中的是 import android support.v7.app.AppcompatActivity; public cl ...

  9. CocoaPods为project的全部target添加依赖支持

    在使用CocoaPods时.pod install默认仅仅能为xcodeproject的第一个target加入依赖库支持.假设要为全部的target添加可依照例如以下步骤进行 两种情 1. 编辑Pod ...

  10. xgboost原理及并行实现

    XGBoost训练: It is not easy to train all the trees at once. Instead, we use an additive strategy: fix ...