【开发运行之鹿鹿故事5】安全性之XSRF简析

【鹿鹿开发运营故事5】XSRF安全简析你是在梦游吗？”陆陆见状忍不住苦笑，连忙帮忙重现了这一幕。事情的前因后果如如下：贝贝昨晚睡前刚在一个购物网站上注册了一个账号，然后浏览了一个锅，加入了购物车，突然收到一封邮件。睡吧。“你好，你小心点。”这是对你注册一些未经认证的无良购物网站的惩罚！”这是典型的XSRF/CSRF攻击。XSRF（Cross-siterequestforgery）攻击官方解释：CSRF（cross-sitedomainrequestforgery）是一种网络攻击方法，可以在受害者不知情的情况下，以受害者的名义伪造请求，发送给受害者网站，从而在未经授权的情况下进行权限保护下的操作，危害很大。总之，你在不退出A网站的情况下访问B网站，如果A网站某界面存在漏洞，B网站将利用该漏洞窃取您的身份，以您的名义发送恶意请求。因此，贝贝（必须加上她）的实际购物过程自己的照片）如下：首先，贝贝登录购物网站A浏览某商品，该网站的支付界面为xxx.com/pay?id=101，没有任何验证措施，存在漏洞。然后贝贝收到一封邮件，隐藏了要加载的图片。她查看邮件的时候，已经访问了A的支付界面，给锅买了。这么看是不是很可怕，但一般情况下，很少有购物网站这么不靠谱，没有任何身份验证机制，甚至用钓鱼的方式引诱用户付费，也只有我们靠脸了为了食物。贝农被迷住了。这种攻击有两个前提条件：A网站的某个界面确实存在漏洞；用户已经在网站A上登录了。因此网站对此类攻击的防御也很简单：在访问界面时增加验证过程，比如输入指纹、支付密码、短信验证码等，主要工作是由后端完成，前端可以配合。虽然这种攻击看起来很low，但只是因为这个漏洞的接口很重要。一般情况下，任何网站都不会大意到连这么重要的界面都保护不好。这类攻击往往发生在一些网站可能没有时间维护的不太重要的接口上，可以帮助攻击网站刷流量、增加粉丝等。网络安全无处不在，安全篇到此结束！