CSRF 攻击深入浅出

CSRF（XSRF）中文名为跨站请求伪造，OWASP Top 10 常见 web 漏洞之一。与 XSS 不同的是，其攻击形式为:用户首先登录一正常网站（Normal Website），正常网站向用户浏览器响应 cookie 信息，此时用户还保持在会话连接状态未对登录状态进行注销。默认情况下，用户关闭浏览器则 cookie 信息将被清除，不过可以通过修改 Cookie 的 expires 属性来设置其有效期。然后用户又打开浏览器另一标签页（tab）访问了一个恶意网站（Malicious Website），Malicious Website 会自动构造指向 Normal Website 的恶意 HTTP 请求(增删改您的重要信息)。

在实际项目开发工作中，除了一些资深开发工程师，大部分程序员对 CSRF 的认识是有很大局限性的，究其原因主要还是对其具体攻击形式与原理理解还不够深入。CSRF 攻击形式其实很简单，正因为它的简单反而容易被人忽视，因此它的危害非常巨大。本场 Chat 我将分享：

1. CSRF 原理
2. CSRF 攻击方式(案列分析)
3. CSRF 防御方式(前后端分离场景下)
4. CSRF 的 Token 安全性分析
5. CSRF 与 XSS 的区别

阅读全文: http://gitbook.cn/gitchat/activity/5a0ba347e1f755571483ea5a

您还可以下载 CSDN 旗下精品原创内容社区 GitChat App ，阅读更多 GitChat 专享技术内容哦。