CSRF說明

 

CSRF:

 

跨站請求僞造

與XSS區別： XSS：利用用戶對站點的信任 CSRF：利用站點對已經通過身份認證客戶端的信任

CSRF原理(在用戶非自願、不知情的狀況下提交請求)： 當client已經與server創建一個正常session，黑客發來一個針對該server修改密碼的連接誘使client點擊，此時若是server無條件接收該修改密碼的請求則視爲存在CSRF漏洞(此修改密碼行爲並不是用戶主動意願)

解決方案：爲在執行該敏感操做時server提早發出挑戰，詢問client是否爲主觀意願

 

CSRF屬於業務邏輯漏洞

一、對關鍵操做缺乏確認機制(修改密碼時的驗證碼也算一種確認機制)

二、自動掃描程序沒法發現此類漏洞