版權(quán)說(shuō)明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請(qǐng)進(jìn)行舉報(bào)或認(rèn)領(lǐng)
文檔簡(jiǎn)介
項(xiàng)目五
安全的個(gè)人信息修改Web安全與防護(hù)本任務(wù)要點(diǎn)學(xué)習(xí)目標(biāo)檢測(cè)和驗(yàn)證跨站請(qǐng)求偽造漏洞熟悉跨站請(qǐng)求偽造漏洞的檢測(cè)方法熟悉跨站請(qǐng)求偽造漏洞的利用方法任務(wù)三
跨站請(qǐng)求偽造漏洞檢測(cè)與驗(yàn)證目錄CONTENTS01/跨站請(qǐng)求偽造漏洞檢測(cè)與驗(yàn)證跨站請(qǐng)求偽造漏洞檢測(cè)與驗(yàn)證01從任務(wù)二可知,CSRF攻擊是攻擊者借助受害者的cookie騙取服務(wù)器的信任,但是攻擊者并不能拿到cookie,也看不到cookie的內(nèi)容。另外,對(duì)于服務(wù)器返回的結(jié)果,由于瀏覽器同源策略的限制,攻擊者也無(wú)法進(jìn)行解析。因此,攻擊者無(wú)法從返回的結(jié)果中得到任何東西,他所能做的就是給服務(wù)器發(fā)送請(qǐng)求,以執(zhí)行請(qǐng)求中所描述的命令,在服務(wù)器端直接改變數(shù)據(jù)的值,而非竊取服務(wù)器中的數(shù)據(jù)。在本書第2.1章節(jié)開發(fā)的代碼中,代碼僅僅驗(yàn)證用戶是否已登錄,若登記即可以修改口令,也沒(méi)有驗(yàn)證原口令,所有這里明顯存在CSRF漏洞項(xiàng)目五
安全的個(gè)人信息修改Web安全與防護(hù)本任務(wù)要點(diǎn)學(xué)習(xí)目標(biāo)對(duì)跨站請(qǐng)求偽造漏洞進(jìn)行修復(fù)和防范熟悉跨站請(qǐng)求偽造漏洞的修復(fù)防范方法任務(wù)四
跨站請(qǐng)求偽造漏洞修復(fù)與防范目錄CONTENTS01/同源檢測(cè)02/Samesite
Cookie03/CSRF
Token04/特定情況下的必要驗(yàn)證同源檢測(cè)01既然CSRF大多來(lái)自第三方網(wǎng)站,那么我們就直接禁止外域(或者不受信任的域名)對(duì)我們發(fā)起請(qǐng)求。在HTTP協(xié)議中,每一個(gè)異步請(qǐng)求都會(huì)攜帶兩個(gè)Header,用于標(biāo)記來(lái)源域名:OriginHeader和RefererHeader。通過(guò)Header的驗(yàn)證,我們可以知道發(fā)起請(qǐng)求的來(lái)源域名,這些來(lái)源域名可能是網(wǎng)站本域,或者子域名,或者有授權(quán)的第三方域名,又或者來(lái)自不可信的未知域名。在Web應(yīng)用中檢查請(qǐng)求頭中的Header字段,確保請(qǐng)求來(lái)自合法的來(lái)源。但是,這種方式并不是完全可靠的,因?yàn)楣粽呖梢酝ㄟ^(guò)篡改HTTP請(qǐng)求頭的方式繞過(guò)Header檢查。Samesite
Cookie02為了從源頭上解決CSRF攻擊,Google起草了一份草案來(lái)改進(jìn)HTTP協(xié)議,那就是為Set-Cookie響應(yīng)頭新增Samesite屬性,它用來(lái)標(biāo)明這個(gè)Cookie是個(gè)“同站Cookie”,同站Cookie只能作為第一方Cookie,不能作為第三方Cookie,Samesite有兩個(gè)屬性值,分別是Strict和Lax。Strict最為嚴(yán)格,完全禁止第三方Cookie,跨站點(diǎn)時(shí),任何情況下都不會(huì)發(fā)送Cookie。換言之,只有當(dāng)前網(wǎng)頁(yè)的URL與請(qǐng)求目標(biāo)一致,才會(huì)帶上Cookie
:Set-Cookie:CookieName=CookieValue;SameSite=Strict;
這個(gè)規(guī)則過(guò)于嚴(yán)格,可能造成非常不好的用戶體驗(yàn)。比如,當(dāng)前網(wǎng)頁(yè)有一個(gè)GitHub鏈接,用戶點(diǎn)擊跳轉(zhuǎn)就不會(huì)帶有GitHub的Cookie,跳轉(zhuǎn)過(guò)去總是未登陸狀態(tài)。Lax規(guī)則稍稍放寬,大多數(shù)情況也是不發(fā)送第三方Cookie,但是導(dǎo)航到目標(biāo)網(wǎng)址的Get請(qǐng)求除外。
Set-Cookie:CookieName=CookieValue;SameSite=Lax;
CSRF
Token03<?php//
生成CSRF
Tokensession_start();if
(!isset($_SESSION['csrf_token']))
{
$_SESSION['csrf_token']
=
md5(uniqid(mt_rand(),
true));}$csrf_token
=
$_SESSION['csrf_token'];//
驗(yàn)證CSRF
Tokenif
($_SERVER['REQUEST_METHOD']
===
'POST')
{
if
(!isset($_POST['csrf_token'])
||
$_POST['csrf_token']
!==
$csrf_token)
{
die('Invalid
CSRF
token');
}
//
處理表單請(qǐng)求}?><!--
表單中包含CSRF
Token
--><form
action="submit.php"
method="post">
<input
type="hidden"
name="csrf_token"
value="<?php
echo
$csrf_token;
?>">
<!--
其他表單字段
-->
<input
type="submit"
value="提交"></form>在應(yīng)用程序中使用CSRFToken可以有效地防止CSRF攻擊。CSRFToken是在服務(wù)器端生成的一段隨機(jī)字符串,該字符串與用戶會(huì)話相關(guān)聯(lián),作為表單隱藏字段或請(qǐng)求參數(shù)的一部分,一起發(fā)送給客戶端瀏覽器。當(dāng)客戶端提交表單或請(qǐng)求時(shí),服務(wù)器端會(huì)驗(yàn)證請(qǐng)求中的Token是否與用戶會(huì)話中的Token一致,如果一致則認(rèn)為請(qǐng)求是合法的,否則拒絕請(qǐng)求。這樣,即使攻擊者成功偽造了請(qǐng)求,也無(wú)法獲取有效的令牌信息,從而無(wú)法完成攻擊。特定情況下的必要驗(yàn)證04<?phpsession_start();
//
驗(yàn)證用戶是否已登錄if
(!isset($_SESSION['user_id']))
{header('Location:
login.php');exit();}
//
處理表單提交if
(isset($_POST['old_password'])
&&
isset($_POST['new_password'])
&&
isset($_POST['confirm_password']))
{$old_password
=
$_POST['old_password'];$new_password
=
$_POST['new_password'];$confirm_password
=
$_POST['confirm_password'];
//
連接數(shù)據(jù)庫(kù)$db
=
new
PDO('mysql:host=localhost;dbname=blog',
'username',
'password');
//
查詢用戶的密碼$stmt
=
$db->prepare('SELECT
password
FROM
users
WHERE
id
=
?');$stmt->execute([$_SESSION['user_id']]);$user
=
$stmt->fetch();
//
檢查舊密碼是否正確if
(password_verify($old_password,
$user['password']))
{//
檢查新密碼是否匹配確認(rèn)密碼if
($new_password
===
$confirm_password)
{//
更新用戶的密碼$stmt
=
$db->prepare('UPDATE
users
SET
password
=
?
WHERE
id
=
?');$stmt->execute([password_hash($new_password,
PASSWORD_DEFAULT),
$_SESSION['user_id']]);echo
'密碼已更新!';}
else
{echo
'新密碼與確認(rèn)密碼不匹配。';}}
else
{echo
'舊密碼不正確。';}}?>在特定情況下加入一些特定的驗(yàn)證來(lái)防止CSRF攻擊,當(dāng)用戶在應(yīng)用程序中執(zhí)行敏感操作時(shí),應(yīng)用程序可以要求用戶提供額外的驗(yàn)證信息,例如輸入密碼或者提供其他的身份信息。以任務(wù)一舉例,任務(wù)一中的口令修改可以添加原口令驗(yàn)證,驗(yàn)證成功再修改口令:課堂實(shí)踐一、任務(wù)名稱:檢測(cè)利用跨站請(qǐng)求偽造漏洞并進(jìn)行修復(fù)二、任務(wù)內(nèi)容:審計(jì)項(xiàng)目五任務(wù)一所開發(fā)的博客系統(tǒng)個(gè)人信息修改功能代碼,找出跨站請(qǐng)求偽造漏洞并對(duì)代碼進(jìn)行修改三、工具需求:瀏覽器、Vscode、Apache、MySQL、PHP四、任務(wù)要求:小組實(shí)操后輪流進(jìn)行展示,老師進(jìn)行點(diǎn)
溫馨提示
- 1. 本站所有資源如無(wú)特殊說(shuō)明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請(qǐng)下載最新的WinRAR軟件解壓。
- 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請(qǐng)聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
- 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁(yè)內(nèi)容里面會(huì)有圖紙預(yù)覽,若沒(méi)有圖紙預(yù)覽就沒(méi)有圖紙。
- 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
- 5. 人人文庫(kù)網(wǎng)僅提供信息存儲(chǔ)空間,僅對(duì)用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理,對(duì)用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對(duì)任何下載內(nèi)容負(fù)責(zé)。
- 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容,請(qǐng)與我們聯(lián)系,我們立即糾正。
- 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時(shí)也不承擔(dān)用戶因使用這些下載資源對(duì)自己和他人造成任何形式的傷害或損失。
最新文檔
- 糖尿病二甲雙胍
- 招投標(biāo)糾紛處理政策解讀
- 2023年北京市平谷初三一模道德與法治試卷及答案
- 社區(qū)工作者試用期工作總結(jié)
- 《成功銷售方程式》課件
- 賓館定制家具合同范例
- 國(guó)際貿(mào)易合同范例
- 各科教師思想工作總結(jié)-
- 農(nóng)村房屋轉(zhuǎn)賣合同范例
- 上海簡(jiǎn)易租房合同范例
- 《紅樓夢(mèng)》第一回
- 2014年4月自考00804金融法二試題及答案含解析
- 跨文化溝通心理學(xué)智慧樹知到期末考試答案2024年
- 婦產(chǎn)科臨床路徑分析:優(yōu)化醫(yī)療流程
- 《海鮮知識(shí)培訓(xùn)》課件
- 2023四年級(jí)學(xué)生勞動(dòng)素養(yǎng)考試試題
- 《航空法規(guī)全》課件
- 電力電纜線路 電纜排管敷設(shè)(建筑電氣施工)
- 數(shù)字媒體藝術(shù)大學(xué)生職業(yè)生涯規(guī)劃
- 人工智能在醫(yī)療健康中的應(yīng)用案例
- 危化品運(yùn)輸安全監(jiān)測(cè)與報(bào)警系統(tǒng)
評(píng)論
0/150
提交評(píng)論