位置: 编程技术 - 正文

PHP开发中csrf攻击的简单演示和防范(php csrf攻击)

编辑:rootadmin

推荐整理分享PHP开发中csrf攻击的简单演示和防范(php csrf攻击),希望有所帮助,仅作参考,欢迎阅读内容。

文章相关热门搜索词:php cs fixer,php rfc,phpfastcgi,php csv,csrf php,php cs,php cs fixer,php cs,内容如对您有帮助,希望把文章链接给更多的朋友!

csrf攻击,即cross site request forgery跨站(域名)请求伪造,这里的forgery就是伪造的意思。网上有很多关于csrf的介绍,比如一位前辈的文章CSRF的攻击方式详解,参考这篇文章简单解释下:csrf 攻击能够实现依赖于这样一个简单的事实:我们在用浏览器浏览网页时通常会打开好几个浏览器标签(或窗口),假如我们登录了一个站点A,站点A如果是通过cookie来跟踪用户的会话,那么在用户登录了站点A之后,站点A就会在用户的客户端设置cookie,假如站点A有一个页面siteA-page.php(url资源)被站点B知道了url地址,而这个页面的地址以某种方式被嵌入到了B站点的一个页面siteB-page.php中,如果这时用户在保持A站点会话的同时打开了B站点的siteB-page.php,那么只要siteB-page.php页面可以触发这个url地址(请求A站点的url资源)就实现了csrf攻击。

上面的解释很拗口,下面举个简单的例子来演示下。

1,背景和正常的请求流程

A站点域名为html5.yang.com,它有一个/get-update.php&#;uid=uid&username=username地址,可以看到这个地址可以通过get方法来传递一些参数,假如这个页面的逻辑是:它通过判断uid是否合法来更新username,这个页面脚本如下:

正常情况下这个页面的链接是放在站点A下面的,比如A站点的csrfdemo.php页面,用户登录站点A以后可以通过点击这个链接来发送请求,比如站点A有一个页面脚本,包含了这个链接:

加载这个页面如下:

用点击页面中的链接来到get-update.php页面:

上面是正常的请求流程,下面来看B站点是如何实现csrf攻击的。

PHP开发中csrf攻击的简单演示和防范(php csrf攻击)

2,csrf攻击的最简单实现

B站点域名为test.yang.com,它有一个页面csrf.php,只要用户在维持A站点会话的同时打开了这个页面,那么B站点就可以实现csrf攻击。至于为什么会打开......,其实这种情景在我们浏览网页时是很常见的,比如我在写这篇博客时,写着写着感觉对csrf某个地方不懂,然后就百度了,结果百度出来好多结果,假如说有个网站叫csrf百科知识,这个网站对csrf介绍的非常详细、非常权威,那么我很可能会点进去看,但是这个网站其实是个钓鱼网站,它在某个访问频率很高的页面中嵌入了我博客编辑页面的url地址,那么它就可以实现对我博客的csrf攻击。好了,言归正传,下面来看下csrf.php脚本代码:

可以看到上面的代码没有php代码,只有一个img标签,img标签的src就是A站点的那个更新用户名的链接,只不过把username改为了jsonp,访问站点B的csrf.php这个页面:

下面再来访问下A站点的csrfdemo.php页面:

可以看到用户名被修改为了jsonp。

简单分析下:B站点的这个csrf.php利用了html中的img标签,我们都知道img标签有个src属性,属性值指向需要加载的图片地址,当页面载入时,加载图片就相当于向src指向的地址发起http请求,只要把图片的地址修改为某个脚本地址,这样自然就实现了最简单的csrf攻击。如此说来,其实csrf很容易实现,只不过大家都是“正人君子”,谁没事会闲着去做这种“下三滥”的事情。但是害人之心不可有,防人之心不可无。下面看下如何简单防范这种最简单的csrf攻击。

3,简单防范措施

其实防范措施也比较简单,A站点可以在get-update.php脚本中判断请求头的来源,如果来源不是A站点就可以截断请求,下面在get-update.php增加些代码:

但是,这样就万事大吉了吗,如果http请求头被伪造了呢?A站点升级了防御,B站点同时也可以升级攻击,通过curl请求来实现csrf,修改B站点的csrf.php代码如下:

这样同样可以实现csrf攻击的目的。那么就没有比较好的防范方法了吗?

4,小结

下面我们回到问题的开始,站点A通过cookie来跟踪用户会话,在cookie中存放了重要的用户信息uid,get-update.php脚本通过判断用户的cookie正确与否来决定是否更改用户信息,看来靠cookie来跟踪会话并控制业务逻辑是不太安全的,还有最严重的一点:get-update.php通过get请求来修改用户信息,这个是大忌。所以站点A可以接着升级防御:用session来代替cookie来跟踪用户会话信息,将修改用户信息的逻辑重写,只允许用post方法来请求用户信息。站点B同样可以升级攻击:curl可以构造post请求,劫持session等等,不过这些我还没研究过,后续再说吧。

ThinkPHP实现图片上传操作的方法详解 本文实例讲述了ThinkPHP实现图片上传操作的方法。分享给大家供大家参考,具体如下:直接上个例子,其中包括有单图片文件上传、多图片文件上传、以

ThinkPHP使用getlist方法实现数据搜索功能示例 本文实例讲述了ThinkPHP使用getlist方法实现数据搜索功能。分享给大家供大家参考,具体如下:自己在ThinkPHP之中的model之中书写getlist方法,其实所谓的搜

Win7环境下Apache连接MySQL提示连接已重置的解决办法 win7下手动搭建wamp环境,碰到的几个坑总结下:1.能正常访问php和html类型文件,但是访问项目文件时老是连接被重置,后来总结是数据库的问题,就写测

标签: php csrf攻击

本文链接地址:https://www.jiuchutong.com/biancheng/293563.html 转载请保留说明!

上一篇:ThinkPHP框架实现数据增删改(thinkphp框架介绍)

下一篇:ThinkPHP实现图片上传操作的方法详解(thinkphp5教程)

  • 个人所得税个人信息怎么填写
  • 房屋用途 居住用房 住宅 区别
  • 一般纳税人的做账流程
  • 定额税改为查账征收,可以弥补上年度亏损吗
  • 建筑业资源税如何缴纳
  • 简易征收预缴税款可以抵扣吗
  • 专利没有资本化成本如何入账
  • 对公账户转个人账户
  • 安装服务费发票需要备注地址吗
  • 信息技术服务企业研发费用加计扣除
  • 存货清查的目的,主要是进行总账和明细账
  • 提前退休取得的一次性补贴收入
  • 年终奖跟13薪有什么区别
  • 办理核定企业所需资料
  • 手表的发票可以报销吗
  • 个税所得期和所得税区别
  • 怎么计算研发费用占销售收入总额比例
  • 税控设备 抵减
  • 停薪留职标准
  • 苹果14promax电池掉电很快
  • 工程施工怎么结转到成本里
  • 企业所得税税前扣除管理办法2018
  • win10 usb恢复
  • gsicon.exe是什么进程 作用是什么 gsicon进程查询
  • 在php中,字符串有哪些表示形式
  • vue浏览器版本
  • php dom
  • PHP:mcrypt_cfb()的用法_Mcrypt函数
  • nginx同一个端口设置两个网站
  • 结转成本类账户到本年利润的会计分录
  • 汉字转拚音
  • vue docx-preview实现docx文件在线预览
  • 怎么给复选框赋值
  • php redis操作
  • 残差网络中的残差指的是什么
  • 猿创部落是干什么的
  • tar 压缩命令tar
  • 进项税额转出有什么好处
  • 企业所得税怎么征收几个点
  • 财务制度备案信息是不是可以不填
  • 大病医疗保险是社保吗
  • 股权转让会计分录摘要怎么写
  • 同时安装vs2005团队开发版和sql 2005企业版的方法(downmoon原作)
  • 中级会计实务主观题怎么给分
  • 服务合同开什么发票
  • 营改增后房租发票可以抵扣吗
  • 劳务分包需要什么条件
  • 应交所得税科目期末是不是应该没有余额
  • 法人代表可以兼任出纳吗
  • 发票商品编码在发票上面体现出来吗
  • 企业办增项怎样办理
  • 固定资产加速折旧纳税调整
  • 营业收入的核算内容包括
  • mysql in如何优化
  • mysql 高效分页
  • sqlserver Union和SQL Union All使用方法
  • mysql5.6解压版安装教程
  • 在unix操作系统中,账户的功能有哪些
  • 系统之家一键重装系统教程
  • win8怎样关闭系统更新
  • windows个性化设置在哪里
  • windowsaudio服务不存在或已删除
  • Win7如何调整分辨率
  • mcdlc.exe - mcdlc是什么进程文件 有何作用
  • windows 10各版本
  • linux 系统文件
  • 防火墙ddos攻击防范
  • bootstrap designer
  • 基于核心素养下的大单元教学设计
  • Shell正则表达式获取指定字符串
  • unity移动
  • jquery div滚动条
  • adb远程调试工具
  • javascript高级教程pdf
  • jq 判断元素是否存在
  • jquery点击按钮左右滚动效果
  • 车辆缴纳购置税多少钱
  • 地税局是政府部门吗
  • 职工疗养费可以税前扣除吗
  • 地税纳税申报表
  • 免责声明:网站部分图片文字素材来源于网络,如有侵权,请及时告知,我们会第一时间删除,谢谢! 邮箱:opceo@qq.com

    鄂ICP备2023003026号

    网站地图: 企业信息 工商信息 财税知识 网络常识 编程技术

    友情链接: 武汉网站建设