网站缝隙修复对CSRF攻击概况

2020-07-07 17:03 admin

网站缝隙修复对CSRF攻击概况


短视频,自媒体,达人种草一站效劳

六一儿童节快到了,最近出了太多太多的缝隙,像头几天被爆出的cve-2019-0708缝隙,使用的是windows效劳器长途桌面rdp协议进行的攻击,今天来给我们送一个礼物是关于网站方面的,jsonp缝隙可以导致csrf网站攻击。很多人会把jsonp跟json当成是一个东西,但真实状况不是这样的,先来介绍一下什么是jsonp,简略来讲就是一个可以解决网站跨域恳求拜访的一个言语,可以协助网站跨域的去恳求参数,使数据之间同步,很好的解决不同网站之间的通讯问题。关于网站缝隙的JSONP绑架缝隙,我们来详细的分析看下。一般网站在设计功用过程加入jsonp实例代码,比如下面这一段,图1:

使用的是php言语开发的,很简略的一个第三方jsonp接口,返回用户名和密码,当get请求的时分就会返回我们需要的值,假如我们对callback值进行修正的时分,返回的值也会有所改变,那么这里就能够被我们使用,修正成歹意的代码,来诈骗用户点击,从而向效劳器端里的json接口进行请求,当用户输入账号密码等信息的时分就现已不知不觉的提交到了攻击者的网站里,用户密码被泄露。如下图:

JSONP缝隙应该算是属于csrf攻击,诱导用户点击并获取用户的账号密码等灵敏信息,CSRF攻击还远远不止光可以获取用户的账号密码,仍是做其他攻击用处,我们在日常的安全检测傍边还遇到过csrf防护使用了token动态值,使用token可以大大的防止csrf攻击的发生,可是我们可以绕过该token防护,详细该怎么绕过呢?

在网站的整个用户提交表单中我们发现有些token值被隐藏了,那么我们可以直接假造代码,通过jsonp的提交方式来获取整个表单的内容,并将其间的token值获取出来,填充到我们构造的表单中,完成csrf攻击。

网站缝隙修复建议:

对调用到的json文件以及接口进行安全限制,判断用户来路Referer,对所有的用户请求设置token,统一值,对json格局的输出编码设置为utf8,对callbak回调参数以及json的数据通讯严厉的把控,jsonp请求与返回的值进行长度查看,对一些特别字符尤其csrf攻击字符进行过滤,比如* #斜杠等等的字符,假如对代码不熟悉的话建议联络专业的网站安全公司或网站缝隙修复公司来处了解决。