Entry № 267
跨站请求伪造(CSRF)
跨站请求伪造(CSRF) 是什么?
跨站请求伪造(CSRF)一种 Web 攻击,迫使已认证用户的浏览器向存在漏洞的站点发送非预期请求,在用户毫不知情的情况下执行状态变更操作。
跨站请求伪造(CSRF)利用了浏览器在发送请求时会自动附带 Cookie 等凭据这一特点。已经登录目标站点的受害者被诱导加载一个恶意页面,该页面在后台提交表单或调用 API,从而以受害者身份触发修改密码、转账、修改账户设置等操作。常见防御措施包括同步令牌(anti-CSRF token)、SameSite Cookie(Lax 或 Strict)、双重提交模式、敏感操作要求重新认证、校验 Origin/Referer 请求头,以及使用内存中的 Bearer 令牌等非 Cookie 凭据。
● 示例
- 01
已登录的用户访问攻击者控制的页面,该页面在后台向 /transfer 发起 POST,将其银行账户中的资金转出。
- 02
管理员点击链接后,隐藏表单向 /users/promote 提交,从而将管理员权限授予攻击者。
● 常见问题
跨站请求伪造(CSRF) 是什么?
一种 Web 攻击,迫使已认证用户的浏览器向存在漏洞的站点发送非预期请求,在用户毫不知情的情况下执行状态变更操作。 它属于网络安全的 攻击与威胁 分类。
跨站请求伪造(CSRF) 是什么意思?
一种 Web 攻击,迫使已认证用户的浏览器向存在漏洞的站点发送非预期请求,在用户毫不知情的情况下执行状态变更操作。
如何防御 跨站请求伪造(CSRF)?
针对 跨站请求伪造(CSRF) 的防御通常结合技术控制与运营实践,详见上方完整定义。
跨站请求伪造(CSRF) 还有哪些其他名称?
常见的别称包括: CSRF, 会话骑乘。