没看明白,直接上原文吧 2008/10/18 leetao102 <[EMAIL PROTECTED]>
> 攻击跨站点请求伪造（ CSRF > ）是根据不理想的要求，攻击者可以进行受信任的用户没有这个或者，如果您想加以考虑。也就是说，如果您正在访问X网页和你有一个公开会议上与个人电脑杂志，在提交（通常做的GET > ） ，攻击者可以改变形象您的邮件您更改密码。我必须说，这不是一个新的攻击（我认为这可以追溯到2001年） ，但我必须说，许多开发商不知道。 > 一个明显的例子就是Gmail中，在这种情况下，攻击者通过图片介绍了一项动议，新增一个次要电子邮件帐户（如果您下载的典型POP电子邮件传送给另一个地址） > ，它是攻击者，这可以下载和阅读所有邮件流量的受害者。 > <<img src="https:3A//mail.google.com/mail/h/ewt1jmuj4ddv/3Fv/3Dprf&cf2_ > emc=true&[EMAIL PROTECTED]&cf1_from&cf1_to&cf1_subj&cf1_has&cf1 > _ > hasnot&cf1_attach=true&tfi&s=z&irf=on&nvp_bu_cftb=Create%20Filter"> > 有了这个简单的代码是在攻击。我要谈论一对夫妇的技术，以减轻这类攻击，并澄清一些虚假的神话有关。 > 使用令牌会议为每个用户更为可取，以防止CSRF攻击，是基于令牌分配给用户的会议上每个请求。凭证可被视为一个字母文字（或不能） > 。例如，下面几个乔斯后使用此代码： > <img src="http://spanish-hackers.com/blog/wp-login.php?action=logout";> > 这将使我们登出如果你在此认证的博客，它能够找到攻击者，并派遣一个网页，一个图像与这一要求，但如果你将使用相关权杖与每个要求攻击者可能不知道确切地址： > <img src="http://spanish-hackers.com/blog/wp-login.php?action=logout > "=Token=53DTE24EEWS4> > 有些攻击是虚假的神话使用后，例如，我们受到保护，不受这种攻击，但是，完全错误的。另一种普遍的做法是检查所提到的（ HTTP_REFERER > ）完全无用据我们所知，修改今天表示，它几乎是儿戏。 > > 方法之一强制执行的受害者我们想要什么（受体）没有意识到这一点，正在做的http请求的src的形象。我们可以把一键通在我们的网站上，并通过链接的访问，因此您会看到一个普通的网络形象，不工作，这不是怀疑什么，因为它可以是一个简单的故障源。但是，将被处死您的浏览器我们想要的东西。 > <img src="http://spanish-hackers.com/blog/wp-login.php?action=logout";> > 詹尼发现一个奇怪的PoC与创建一个链接与HTML和JavaScript > 。在这把鼠标放在链接显示在酒吧装载的网址，我们的目标，这是真实的，但大多数人眼中的受害者将是第二个网页，打开一个新的窗口无受害人事先知道. > <a href="http://www.google.com"; onClick=window.open("http://www.g.cn";);> > http://www.google.com</a> > > > QQ:8271683 msn:[EMAIL PROTECTED] > > > ------------------------------ > [广告] 金秋最关注楼盘-房不胜房 <http://popme.163.com/link/003985_1010_7027.html> > > ------------------------------ > [广告] 金秋最关注楼盘-房不胜房 > > <http://popme.163.com/link/003985_1010_7027.html> > 攻击跨站点请求伪造（ CSRF > ）是根据不理想的要求，攻击者可以进行受信任的用户没有这个或者，如果您想加以考虑。也就是说，如果您正在访问X网页和你有一个公开会议上与个人电脑杂志，在提交（通常做的GET > ） ，攻击者可以改变形象您的邮件您更改密码。我必须说，这不是一个新的攻击（我认为这可以追溯到2001年） ，但我必须说，许多开发商不知道。 > > 一个明显的例子就是Gmail中，在这种情况下，攻击者通过图片介绍了一项动议，新增一个次要电子邮件帐户（如果您下载的典型POP电子邮件传送给另一个地址） > ，它是攻击者，这可以下载和阅读所有邮件流量的受害者。 > > <<img src="https:3A//mail.google.com/mail/h/ewt1jmuj4ddv/3Fv/3Dprf&cf2_ > emc=true&[EMAIL PROTECTED]&cf1_from&cf1_to&cf1_subj&cf1_has&cf1_ > hasnot&cf1_attach=true&tfi&s=z&irf=on&nvp_bu_cftb=Create%20Filter<http://mail.google.com/mail/h/ewt1jmuj4ddv/3Fv/3Dprf&cf2_emc=true&[EMAIL > > PROTECTED]&cf1_from&cf1_to&cf1_subj&cf1_has&cf1_hasnot&cf1_attach=true&tfi&s=z&irf=on&nvp_bu_cftb=Create%20Filter> > "> > > 有了这个简单的代码是在攻击。我要谈论一对夫妇的技术，以减轻这类攻击，并澄清一些虚假的神话有关。 > 使用令牌会议为每个用户更为可取，以防止CSRF攻击，是基于令牌分配给用户的会议上每个请求。凭证可被视为一个字母文字（或不能） > 。例如，下面几个乔斯后使用此代码： > > <img src="http://spanish-hackers.com/blog/wp-login.php?action=logout";> > > 这将使我们登出如果你在此认证的博客，它能够找到攻击者，并派遣一个网页，一个图像与这一要求，但如果你将使用相关权杖与每个要求攻击者可能不知道确切地址： > > <img src="http://spanish-hackers.com/blog/wp-login.php?action=logout > "=Token=53DTE24EEWS4> > > 有些攻击是虚假的神话使用后，例如，我们受到保护，不受这种攻击，但是，完全错误的。另一种普遍的做法是检查所提到的（ HTTP_REFERER > ）完全无用据我们所知，修改今天表示，它几乎是儿戏。 > > > 方法之一强制执行的受害者我们想要什么（受体）没有意识到这一点，正在做的http请求的src的形象。我们可以把一键通在我们的网站上，并通过链接的访问，因此您会看到一个普通的网络形象，不工作，这不是怀疑什么，因为它可以是一个简单的故障源。但是，将被处死您的浏览器我们想要的东西。 > > <img src="http://spanish-hackers.com/blog/wp-login.php?action=logout";> > > 詹尼发现一个奇怪的PoC与创建一个链接与HTML和JavaScript > 。在这把鼠标放在链接显示在酒吧装载的网址，我们的目标，这是真实的，但大多数人眼中的受害者将是第二个网页，打开一个新的窗口无受害人事先知道. > > <a href="http://www.google.com"; onClick=window.open("http://www.g.cn";);> > http://www.google.com</a> > > > > > > QQ:8271683 > > -- I am aking --~--~---------~--~----~------------~-------~--~----~ 要向邮件组发送邮件，请发到 [email protected] 要退订此邮件，请发邮件至 [EMAIL PROTECTED] -~----------~----~----~----~------~----~------~--~---
