作者：hacker发布时间：2022-07-16分类：破解邮箱浏览：57评论：1
Cross-site request forgery:跨站请求伪造，也被称成为“one click attack”或者session riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方式几乎相左。XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。
示例和特性
« ‹ › »
CSRF攻击通过在授权用户访问的页面中包含链接或者脚本的方式工作。例如：一个网站用户Bob可能正在浏览聊天论坛，而同时另一个用户Alice 也在此论坛中，并且后刚刚发布了一个具有Bob银行链接的图片消息。设想一下，Alice编写了一个在Bob的银行站点上进行取款的form提交的链接，并将此链接作为图片tag。如果Bob的银行在cookie中保存他的授权信息，并且此cookie没有过期，那么当Bob的浏览器尝试装载图片时将提交这个取款form和他的cookie，这样在没经Bob同意的情况下便授权了这次事务。
CSRF是一种依赖web浏览器的、被混淆过的代理人攻击（deputy attack）。在上面银行示例中的代理人是Bob的web浏览器，它被混淆后误将Bob的授权直接交给了Alice使用。
下面是CSRF的常见特性：
依靠用户标识危害网站
利用网站对用户标识的信任
欺骗用户的浏览器发送HTTP请求给目标站点
风险在于那些通过基于受信任的输入form和对特定行为无需授权的已认证的用户来执行某些行为的web应用。已经通过被保存在用户浏览器中的cookie进行认证的用户将在完全无知的情况下发送HTTP请求到那个信任他的站点，进而进行用户不愿做的行为。
使用图片的CSRF攻击常常出现在网络论坛中，因为那里允许用户发布图片而不能使用JavaScript。
防范措施
« ‹ › »
对于web站点，将持久化的授权方法（例如cookie或者HTTP授权）切换为瞬时的授权方法（在每个form中提供隐藏field），这将帮助网站防止这些攻击。一种类似的方式是在form中包含秘密信息、用户指定的代号作为cookie之外的验证。
另一个可选的方法是“双提交”cookie。此方法只工作于Ajax请求，但它能够作为无需改变大量form的全局修正方法。如果某个授权的 cookie在form post之前正被JavaScript代码读取，那么限制跨域规则将被应用。如果服务器需要在Post请求体或者URL中包含授权cookie的请求，那么这个请求必须来自于受信任的域，因为其它域是不能从信任域读取cookie的。
与通常的信任想法相反，使用Post代替Get方法并不能提供卓有成效的保护。因为JavaScript能使用伪造的POST请求。尽管如此，那些导致对安全产生“副作用”的请求应该总使用Post方式发送。Post方式不会在web服务器和代理服务器日志中留下数据尾巴，然而Get方式却会留下数据尾巴。
尽管CSRF是web应用的基本问题，而不是用户的问题，但用户能够在缺乏安全设计的网站上保护他们的帐户：通过在浏览其它站点前登出站点或者在浏览器会话结束后清理浏览器的cookie。
影响CSRF的因素
«‹ › »
CSRF攻击依赖下面的假定：
攻击者了解受害者所在的站点
攻击者的目标站点具有持久化授权cookie或者受害者具有当前会话cookie
目标站点没有对用户在网站行为的第二授权
外部链接
一.CSRF是什么？
CSRF（Cross-site request forgery），中文名称：跨站请求伪造，也被称为：one click attack/session riding，缩写为：CSRF/XSRF。
二.CSRF可以做什么？
这可以这么理解CSRF攻击：攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账......造成的问题包括：个人隐私泄露以及财产安全。
三.CSRF漏洞现状
CSRF这种攻击方式在2000年已经被国外的安全人员提出，但在国内，直到06年才开始被关注，08年，国内外的多个大型社区和交互网站分别爆出CSRF漏洞，如：NYTimes.com（纽约时报）、Metafilter（一个大型的BLOG网站），YouTube和百度HI......而现在，互联网上的许多站点仍对此毫无防备，以至于安全业界称CSRF为“沉睡的巨人”。
CSRF是一种让人难以防范的漏洞，据歪歪了解，目前没有很好的监测CSRF的方法。歪歪想到的一些比较可行的防范方法：
不使用网银。所谓的无招胜有招，我既然不用网银，黑客也就自然巧媳妇难为无米之炊了。（just a joke:)）
定期修改密码。定期修改密码永远是安全学中最提倡的一个方法。
访问敏感网站（比如信用卡、网银等）后，主动清理历史记录、cookie记录、表单记录、密码记录，并重启浏览器才访问其他网站。
保持浏览器更新补丁，尤其是安全补丁。同时也要留意操作系统、杀毒、防火墙等软件的更新。
不要上来历不明的网站，推荐使用ms ie7的站点认证功能或者google toolbar之类辨识非法的网站。
使用某些带有“隐私浏览”功能的浏览器，比如Safari。“隐私浏览”功能可以让用户在上网冲浪时不会留下任何痕迹, 浏览器不会存储cookie和其它任何资料。从而CSRF也拿不到有用的信息。
ie8把它叫做“InPrivate浏览”。Chrome称作“Incognito模式”。
如果浏览器提示“链接和证书域名不匹配”的警告信息时，请不要继续浏览，立即关闭浏览器或者返回上一页（如果您是网页开发者或者黑客，当我没有说）。
管理好浏览器的cookie。比如在IE6.0中，打开“工具-Intern
CSRF攻击，全称为“Cross-site request forgery”，中文名为跨站请求伪造，也被称为“One Click
Attack”或者“Session Riding”，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。
XSS主要是利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求，来利用受信任的网站。与XSS相比，CSRF更具危险性。
CSRF攻击的危害：
主要的危害来自于攻击者盗用用户身份，发送恶意请求。比如：模拟用户发送邮件，发消息，以及支付、转账等。
如何防御CSRF攻击：
1、重要数据交互采用POST进行接收，当然POST也不是万能的，伪造一个form表单即可破解。
2、使用验证码，只要是涉及到数据交互就先进行验证码验证，这个方法可以完全解决CSRF。
3、出于用户体验考虑，网站不能给所有的操作都加上验证码，因此验证码只能作为一种辅助手段，不能作为主要解决方案。
4、验证HTTP Referer字段，该字段记录了此次HTTP请求的来源地址，最常见的应用是图片防盗链。
5、为每个表单添加令牌token并验证。
CSRF：Cross-Site Request Forgery（中文：跨站请求伪造），可以理解为攻击者盗用了你的身份，以你的名义发送恶意请求，比如：以你名义发送邮件、发消息、购买商品，虚拟货币转账等。
防御手段：
验证请求来源地址；
关键操作添加验证码；
在请求地址添加 token 并验证。
在前些日子因为菲律宾枪杀渔民而发生的台菲黑客大战中，黑客一度攻陷菲律宾的DNS服务器，迫使菲律宾黑客公开求饶。DNS安全问题再次成为国内外研究的焦点。而近日，网上又爆出了54DNS 劫持事件。 此次劫持由黑客利用宽带路由器缺陷对用户DNS进行篡改所导致，因为该WEB页面没有特别的恶意代码，所以可以成功躲过安全软件检测，导致大量用户被DNS钓鱼诈骗。 DNS全称Doin Name System，在网络实现过程中担当着重要的角色。DNS保存有该网络中所有主机的域名和对应IP，并将域名转换为IP。一旦遭到非法篡改，用户将很可能被导向钓鱼或其他恶意。 据悉，该DNS劫持事件源自于5月4日国内域名服务提供商DNS发现的一次监测数据异常。而后，安全团队成功追查到发动此次DNS劫持攻击的元凶，并第一时间将此次攻击情况通报给了TP-LINK等国内主流路由器厂商。 DNS和腾讯电脑管家表示，新一轮DNS钓鱼攻击已导致数百万用户感染。约有4%的全网用户可能已经处于此次DNS钓鱼攻击威胁当中。若按全网用户2亿规模估算，每天受到此次DNS钓鱼攻击的用户已达到万，而如此大规模的DNS钓鱼攻击在以往十分罕见，可能是史上最大规模黑客攻击。 那么这次的攻击事件，用到的是怎样一种手段呢? 有位名叫RAyH4c的网友曾经在年写过一篇Http Authentication Url and csrf技术文章，其中提到了相应的攻击原理。而有其他网友指出，该类攻击原理早在年就已在美国黑客大会上公布出来，一直没有得到大家的重视。 安全研究团在近日对这次攻击做了个此类攻击的步骤大致如下： 1. 攻击者诱骗受害者通过浏览器访问一个有CSRF攻击代码的页面; 2. 受害者访问后，这个页面里的CSRF代码开始执行; 3. 执行第1个CSRF：用默认账户登录默认路由IP(比如admin/admin登录)，这些默认的可以形成一个列表，遍历就行; 5. 执行第2个CSRF：将DNS的IP修改为攻击者准备好的服务器IP。这次的执行，浏览器会带上第1次的合法Cookie，所以修改可以成功; 5. 用户的访问请求就会经过攻击者的这个服务器，攻击者可以做各种劫持了; 此外，他还对个人用户如何防范此类攻击提出了一些意见： 1. 修改默认的口令与内网段会比较好; 2. 本地绑定值得信赖的DNS服务，如8.8.8.8; 3. 升级到新版IE浏览器; 4. 如果使用开源浏览器，Firefox+NoScript一直是一个绝佳的组合; 在Web前端安全方面，CSRF的攻击技巧一直在进化。之前一小部分人玩玩无伤大雅，但现在这些东西被黑色产业链实战了，这才是我们更需关注的重点。尤其是对于各位站长，更要注意自己的后台被CSRF入侵，平时可登录SCAN安全中心给自己的做检查和预警。 声明：本文内容由电脑高手网整理，感谢笔者的分享！刊登/转载此文目的在于更广泛的传播及分享，但并不意味着赞同其观点或论证其描述。如有版权或其它纠纷问题请准备好相关证明材料与站长，谢谢！
标签：csrf攻击软件
已有1位网友发表了看法：
访客 评论于 2022-07-16 07:42:35 回复
5. 用户的访问请求就会经过攻击者的这个服务器，攻击者可以做各种劫持了; 此外，他还对个人用户如何防范此类攻击提出了一些意见： 1. 修改默认的口令与内网段会比较好; 2.