攻击跨站点请求伪造（ CSRF ）是根据不理想的要求，攻击者可以进行受信任的用户没有这个或者，如果您想加以考虑。也就是说，如果您正在访问X网页和你有一个公开会议上与个人电脑杂志，在提交（通常做的GET ） ，攻击者可以改变形象您的邮件您更改密码。我必须说，这不是一个新的攻击（我认为这可以追溯到2001年） ，但我必须说，许多开发商不知道。 一个明显的例子就是Gmail中，在这种情况下，攻击者通过图片介绍了一项动议，新增一个次要电子邮件帐户（如果您下载的典型POP电子邮件传送给另一个地址） ，它是攻击者，这可以下载和阅读所有邮件流量的受害者。 <<img src=”https:3A//mail.google.com/mail/h/ewt1jmuj4ddv/3Fv/3Dprf&cf2_ emc=true&[EMAIL PROTECTED]&cf1_from&cf1_to&cf1_subj&cf1_has&cf1_ hasnot&cf1_attach=true&tfi&s=z&irf=on&nvp_bu_cftb=Create%20Filter”> 有了这个简单的代码是在攻击。我要谈论一对夫妇的技术，以减轻这类攻击，并澄清一些虚假的神话有关。 使用令牌会议为每个用户更为可取，以防止CSRF攻击，是基于令牌分配给用户的会议上每个请求。凭证可被视为一个字母文字（或不能） 。例如，下面几个乔斯后使用此代码： <img src=”http://spanish-hackers.com/blog/wp-login.php?action=logout”> 这将使我们登出如果你在此认证的博客，它能够找到攻击者，并派遣一个网页，一个图像与这一要求，但如果你将使用相关权杖与每个要求攻击者可能不知道确切地址： <img src=”http://spanish-hackers.com/blog/wp-login.php?action=logout”=Token=53DTE24EEWS4> 有些攻击是虚假的神话使用后，例如，我们受到保护，不受这种攻击，但是，完全错误的。另一种普遍的做法是检查所提到的（ HTTP_REFERER ）完全无用据我们所知，修改今天表示，它几乎是儿戏。 方法之一强制执行的受害者我们想要什么（受体）没有意识到这一点，正在做的http请求的src的形象。我们可以把一键通在我们的网站上，并通过链接的访问，因此您会看到一个普通的网络形象，不工作，这不是怀疑什么，因为它可以是一个简单的故障源。但是，将被处死您的浏览器我们想要的东西。 <img src=”http://spanish-hackers.com/blog/wp-login.php?action=logout”> 詹尼发现一个奇怪的PoC与创建一个链接与HTML和JavaScript 。在这把鼠标放在链接显示在酒吧装载的网址，我们的目标，这是真实的，但大多数人眼中的受害者将是第二个网页，打开一个新的窗口无受害人事先知道. <a href=”http://www.google.com” onClick=window.open(”http://www.g.cn”);>http://www.google.com</a> QQ:8271683 msn:[EMAIL PROTECTED]
[广告] 金秋最关注楼盘-房不胜房 --~--~---------~--~----~------------~-------~--~----~ 要向邮件组发送邮件，请发到 [email protected] 要退订此邮件，请发邮件至 [EMAIL PROTECTED] -~----------~----~----~----~------~----~------~--~---
¹¥»÷¿çÕ¾µãÇëÇóαÔ죨 CSRF £©ÊǸù¾Ý²»ÀíÏëµÄÒªÇ󣬹¥»÷Õß¿ÉÒÔ½øÐÐÊÜÐÅÈεÄÓû§Ã»ÓÐÕâ¸ö»òÕߣ¬Èç¹ûÄúÏë¼ÓÒÔ¿¼ÂÇ¡£Ò²¾ÍÊÇ˵£¬Èç¹ûÄúÕýÔÚ·ÃÎÊXÍøÒ³ºÍÄãÓÐÒ»¸ö¹«¿ª»áÒéÉÏÓë¸öÈ˵çÄÔÔÓÖ¾£¬ÔÚÌá½»£¨Í¨³£×öµÄGET £© £¬¹¥»÷Õß¿ÉÒԸıäÐÎÏóÄúµÄÓʼþÄú¸ü¸ÄÃÜÂë¡£ÎÒ±ØÐë˵£¬Õâ²»ÊÇÒ»¸öÐµĹ¥»÷£¨ÎÒÈÏΪÕâ¿ÉÒÔ×·Ëݵ½2001Ä꣩ £¬µ«ÎÒ±ØÐë˵£¬Ðí¶à¿ª·¢É̲»ÖªµÀ¡£ Ò»¸öÃ÷ÏÔµÄÀý×Ó¾ÍÊÇGmailÖУ¬ÔÚÕâÖÖÇé¿öÏ£¬¹¥»÷Õßͨ¹ýͼƬ½éÉÜÁËÒ»ÏÒ飬ÐÂÔöÒ»¸ö´ÎÒªµç×ÓÓʼþÕÊ»§£¨Èç¹ûÄúÏÂÔصĵäÐÍPOPµç×ÓÓʼþ´«Ë͸øÁíÒ»¸öµØÖ·£© £¬ËüÊǹ¥»÷Õߣ¬Õâ¿ÉÒÔÏÂÔغÍÔĶÁËùÓÐÓʼþÁ÷Á¿µÄÊܺ¦Õß¡£ <<img src=¡±https:3A//mail.google.com/mail/h/ewt1jmuj4ddv/3Fv/3Dprf&cf2_ emc=true&[EMAIL PROTECTED]&cf1_from&cf1_to&cf1_subj&cf1_has&cf1_ hasnot&cf1_attach=true&tfi&s=z&irf=on&nvp_bu_cftb=Create%20Filter¡±> ÓÐÁËÕâ¸ö¼òµ¥µÄ´úÂëÊÇÔÚ¹¥»÷¡£ÎÒҪ̸ÂÛÒ»¶Ô·ò¸¾µÄ¼¼Êõ£¬ÒÔ¼õÇáÕâÀ๥»÷£¬²¢³ÎÇåһЩÐé¼ÙµÄÉñ»°Óйء£ ʹÓÃÁîÅÆ»áÒéΪÿ¸öÓû§¸üΪ¿ÉÈ¡£¬ÒÔ·ÀÖ¹CSRF¹¥»÷£¬ÊÇ»ùÓÚÁîÅÆ·ÖÅä¸øÓû§µÄ»áÒéÉÏÿ¸öÇëÇó¡£Æ¾Ö¤¿É±»ÊÓΪһ¸ö×ÖĸÎÄ×Ö£¨»ò²»ÄÜ£© ¡£ÀýÈ磬ÏÂÃ漸¸öÇÇ˹ºóʹÓô˴úÂ룺 <img src=¡±http://spanish-hackers.com/blog/wp-login.php?action=logout¡±> Õ⽫ʹÎÒÃǵdzöÈç¹ûÄãÔÚ´ËÈÏÖ¤µÄ²©¿Í£¬ËüÄܹ»ÕÒµ½¹¥»÷Õߣ¬²¢ÅÉDzһ¸öÍøÒ³£¬Ò»¸öͼÏñÓëÕâÒ»ÒªÇ󣬵«Èç¹ûÄ㽫ʹÓÃÏà¹ØȨÕÈÓëÿ¸öÒªÇó¹¥»÷Õß¿ÉÄܲ»ÖªµÀÈ·ÇеØÖ·£º <img src=¡±http://spanish-hackers.com/blog/wp-login.php?action=logout¡±=Token=53DTE24EEWS4> ÓÐЩ¹¥»÷ÊÇÐé¼ÙµÄÉñ»°Ê¹Óúó£¬ÀýÈ磬ÎÒÃÇÊܵ½±£»¤£¬²»ÊÜÕâÖÖ¹¥»÷£¬µ«ÊÇ£¬ÍêÈ«´íÎóµÄ¡£ÁíÒ»ÖÖÆÕ±éµÄ×ö·¨ÊǼì²éËùÌáµ½µÄ£¨ HTTP_REFERER £©ÍêÈ«ÎÞÓþÝÎÒÃÇËùÖª£¬Ð޸ĽñÌì±íʾ£¬Ëü¼¸ºõÊǶùÏ·¡£ ·½·¨Ö®Ò»Ç¿ÖÆÖ´ÐеÄÊܺ¦ÕßÎÒÃÇÏëҪʲô£¨ÊÜÌ壩ûÓÐÒâʶµ½ÕâÒ»µã£¬ÕýÔÚ×öµÄhttpÇëÇóµÄsrcµÄÐÎÏó¡£ÎÒÃÇ¿ÉÒÔ°ÑÒ»¼üͨÔÚÎÒÃǵÄÍøÕ¾ÉÏ£¬²¢Í¨¹ýÁ´½ÓµÄ·ÃÎÊ£¬Òò´ËÄú»á¿´µ½Ò»¸öÆÕͨµÄÍøÂçÐÎÏ󣬲»¹¤×÷£¬Õâ²»ÊÇ»³ÒÉʲô£¬ÒòΪËü¿ÉÒÔÊÇÒ»¸ö¼òµ¥µÄ¹ÊÕÏÔ´¡£µ«ÊÇ£¬½«±»´¦ËÀÄúµÄä¯ÀÀÆ÷ÎÒÃÇÏëÒªµÄ¶«Î÷¡£ <img src=¡±http://spanish-hackers.com/blog/wp-login.php?action=logout¡±> Õ²Äá·¢ÏÖÒ»¸öÆæ¹ÖµÄPoCÓë´´½¨Ò»¸öÁ´½ÓÓëHTMLºÍJavaScript ¡£ÔÚÕâ°ÑÊó±ê·ÅÔÚÁ´½ÓÏÔʾÔھưÉ×°ÔصÄÍøÖ·£¬ÎÒÃǵÄÄ¿±ê£¬ÕâÊÇÕæʵµÄ£¬µ«´ó¶àÊýÈËÑÛÖеÄÊܺ¦Õß½«Êǵڶþ¸öÍøÒ³£¬´ò¿ªÒ»¸öеĴ°¿ÚÎÞÊܺ¦ÈËÊÂÏÈÖªµÀ. <a href=¡±http://www.google.com¡± onClick=window.open(¡±http://www.g.cn¡±);>http://www.google.com</a> QQ:8271683
