asp.net – ASP反请求伪造,为什么黑客不会先获取？

发布时间：2020-12-16 03:16:32 所属栏目：asp.Net 来源：网络整理

导读：我一直在我的MVC3 Web应用程序中实现ASP ARF令牌,并阅读CSRF漏洞利用的工作方式以及ARF令牌如何防御它.现在我想知道’黑客’是否无法通过额外的步骤绕过ARF检查.正常的CSRF场景如下：创建一个发布到目标网站BankingSite的网站(我们称之为HackerSite) 使用社

我一直在我的MVC3 Web应用程序中实现ASP ARF令牌,并阅读CSRF漏洞利用的工作方式以及ARF令牌如何防御它.现在我想知道’黑客’是否无法通过额外的步骤绕过ARF检查.正常的CSRF场景如下：

>创建一个发布到目标网站BankingSite的网站(我们称之为HackerSite)
>使用社交工程(或广告中的XSS等)以便用户使用
访问网站HackerSite
> HackerSite上的脚本将使用用户发布到BankingSite
cookie /凭证因此以他/她的名义发布

由于我们的ARF令牌,BankingSite知道忽略来自网站HackerSite的POST.因为它缺少正确的AFR令牌.谁能告诉我为什么黑客不能通过首先在BankingSite上执行GET请求来获取令牌？像这样：

>创建一个发布到目标网站BankingSite的网站(我们称之为HackerSite)
>使用社交工程(或广告中的XSS等)以便用户使用
访问网站HackerSite
> HackerSite上的脚本将执行GET请求并获取ARF令牌
从响应中的HTML,此请求还将在用户的cookie中设置ARF令牌
> HackerSite上的第二个脚本将使用发布到BankingSite
因此,抓取的ARF令牌用户cookie /凭证
以他/她的名字发布

有谁知道我在这里缺少什么,以及ARF如何抵御这种攻击？

解决方法

攻击者不知道受害者的cookie.令牌生成基于它.如果您的站点有其他XSS漏洞,则此方法无法帮助解决CSRF漏洞.

如果你发送AJAX referer标题将是HackerSite,而不是BankSite.因此您无法访问站点的封闭部分(无法访问CSRF令牌).这是Http-Only所以你不能只通过javascript来获取它.当您想要向受害者站点发送获取请求时,您的计划将失败.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!