如何防止跨站點偽造(Prevent Cross-Site Forgery)？

跨站點偽造（XSRF或CSRF）也稱為跨站點請求偽造、會話騎乘和一鍵式攻擊等多種名稱，是一種難以防止的網站攻擊類型。它通過誘使web瀏覽器向遠程服務器發送未經授權的命令來進行操作。跨站點偽造攻擊僅對以下用戶有效：使用真...

跨站點偽造（XSRF或CSRF）也稱為跨站點請求偽造、會話騎乘和一鍵式攻擊等多種名稱，是一種難以防止的網站攻擊類型。它通過誘使web瀏覽器向遠程服務器發送未經授權的命令來進行操作。跨站點偽造攻擊僅對以下用戶有效：使用真實的憑據登錄網站；因此，注銷網站是一種簡單而有效的預防措施。Web開發人員可以使用隨機生成的令牌來幫助防止此類攻擊，但是應該避免檢查推薦者或依賴cookies。手持計算機的人通常會利用跨站點偽造漏洞，以web瀏覽器為目標進行所謂的“混淆副手攻擊”。瀏覽器認為是代表用戶行事，卻被欺騙向遠程服務器發送未經授權的命令。這些命令可能隱藏在網頁標記代碼中看似無害的部分，這意味著試圖下載圖像文件的瀏覽器實際上可能正在向銀行、在線零售商或社交網站發送命令。一些瀏覽器現在包括了旨在防止跨站點偽造攻擊的措施，第三方程序員已經創建了缺乏這些措施的擴展或插件。在首選客戶端中關閉超文本標記語言（HTML）電子郵件也是一個好主意，因為這些程序也容易受到跨站點偽造攻擊。因為跨站點偽造攻擊依賴于合法登錄的用戶考慮到這一點，防止此類攻擊的最簡單方法之一就是簡單地注銷您已使用完的網站。許多處理敏感數據的網站，包括銀行和經紀公司，在一段時間不活動后會自動執行此操作。其他網站則采取相反的方法，允許用戶持續登錄數天或數周雖然您可能會覺得這很方便，但它確實會使您受到CSRF攻擊。請查找“在此計算機上記住我”或“讓我登錄”選項并將其禁用，并確保在完成會話后單擊“注銷”鏈接。對于web開發人員，消除跨站點偽造漏洞是一項特別具有挑戰性的任務。檢查引用者和cookie信息并不能提供太多保護，因為CSRF利用合法的用戶憑據，而且這些信息很容易被欺騙。更好的方法是每次隨機生成一個一次性令牌用戶登錄，并要求用戶發送的任何請求都包含令牌。對于購買或資金轉賬等重要請求，要求用戶重新輸入用戶名和密碼有助于確保請求的真實性

發表于 2020-08-07 16:32
閱讀 ( 613 )
分類：電腦網絡

如何防止跨站點偽造(Prevent Cross-Site Forgery)？

你可能感興趣的文章

相關問題

0 條評論

作家榜 ?

推薦文章