CSRF和SSRF详解

<>CSRF和SSRF详解：

<>CSRF是什么：

CSRF跨站点请求伪造(Cross-Site Request
Forgery)，在手段上与XSS漏洞相似，通过盗取被攻击者的身份，以用攻击者的身份去访问服务器，进行操作

<>CSRF攻击原理：

* 被攻击者打开浏览器，访问网站A，输入用户名和密码，发送请求，服务器接收请求，返回响应，其中包含用户的cookie信息。
* 被攻击者在网站A
cookie的有效期内，访问攻击者搭建的网站，被攻击者的网站含有恶意代码，因为浏览器含有网站A的Cookie，所以攻击者可以通过自己搭建的网站用被攻击者的身份去访问网站A
<>CSRF的防御手段：

* 验证HTTP数据包中的referer字段
* 在请求地址中添加token并验证
* 在HTTP头中自定义属性并验证
* 限制请求方式只能为POST
* 当用户发送重要的请求时需要输入原始密码
<>SSRF是什么：

SSRF(Service-SideRequest
Forgery)服务端请求伪造是一种由攻击者构造形成由服务端发送请求的一个安全漏洞。SSRF的主要目标是外网无法访问的内部系统

<>SSRF形成的原因：

SSRF形成的原因主要是服务器提供了从其他服务器应用上获取相应的资源，但是却没有对目标地址进行过滤。

<>SSRF漏洞常见形成的地方：

* 通过url加载或下载图片
* 在线翻译功能：通过url地址加载或上传图片

• « 上一篇：一文搞掂十大经典排序算法
• » 下一篇：CPU、GPU、FPGA、ASIC等AI芯片特性及对比