商丘做网站,商丘网站优化,商丘网络推广,商丘网络公司
当前位置:首页 > 新闻资讯 > 建站经验 >

「南族自网站建设」网站漏洞修复对CSRF攻击详情

发表日期:2019-05-22 08:05聚圣源浏览次数: 本文关键词:南族,自网站建设,网站,漏洞,修复,对,

 

六一儿童节快到了,近来出了太多太多的毛病,像前几天被爆出的cve-2019-0708毛病,使用的是windows办事器长途桌面rdp协议举行的打击,本日来给各人送一个礼品是关于网站方面的,jsonp毛病可以导致csrf网站打击。许多人会把jsonp跟json当成是一个工具,但真真相况不是如许的,先来先容一下什么是jsonp,简朴来讲就是一个可以办理网站跨域哀求访问的一个语言,可以资助网站跨域的去哀求参数,使数据之间同步,很好的办理差别网站之间的通讯题目。关于网站毛病的JSONP挟制毛病,我们来具体的阐发看下。一样平常网站在计划功效历程参加jsonp实例代码,好比下面这一段,图1:

「南族自网站建设」网站漏洞修复对CSRF攻击详情

利用的是php语言开辟的,很简朴的一个第三方jsonp接口,返回用户名和暗码,当get哀求的时间就会返回我们必要的值,假如我们对callback值举行修改的时间,返回的值也会有所改变,那么这里就可以被我们使用,修改成恶意的代码,来诱骗用户点击,从而向办事器端里的json接口举行哀求,当用户输入账号暗码等信息的时间就已经不知不觉的提交到了打击者的网站里,用户暗码被泄漏。如下图:

「南族自网站建设」网站漏洞修复对CSRF攻击详情

JSONP毛病应该算是属于csrf打击,诱导用户点击并获取用户的账号暗码等敏感信息,CSRF打击还远远不止光可以获取用户的账号暗码,照旧做其他打击用途,我们在一样平常的宁静检测当中还碰到过csrf防护利用了token动态值,利用token可以大大的防备csrf打击的产生,但是我们可以绕过该token防护,详细该怎么绕过呢?

在网站的整个用户提交表单中我们发明有些token值被隐蔽了,那么我们可以直接伪造代码,通过jsonp的提呼和浩特交方法来获取整个表单的内容,并将此中的token值获取出来,添补到我们结构的表单中,完成csrf打击。

「南族自网站建设」网站漏洞修复对CSRF攻击详情

网站毛病修复发起:

对换用到的json文件以及接口举行宁静限定,判定用户来路Referer,对全部的用户哀求设置token,同一值,对json格式的输出编码设置为utf8,对callbak回调参数以及json的数据通讯严酷的把控,jsonp哀求与返回的值举行长度查抄,对一些特别字符尤其csrf打击字符举行过滤,好比*&#斜杠等等的字符,假如对代码不认识的话发起接洽专业的网站宁静公司或网站毛病修复公司来处置惩罚办理。

如没特殊注明,文章均来自网络! 转载请注明来自:http://www.jushengyuan.com.cn/news/jzjy/13198.html

网站设计案例推荐

热门文章

站长工具综合查询里面SSL证书不...

SSL证书不安全是怎么回事?但是点进去这个提示后,显示的是别人的tdk是不是被劫持或者被黑了?...

日期:2018-03-27 浏览次数:2087

简洁而实用的版权信息可增色网...

打开网站,人们自然会从上往下浏览,首先映入眼帘的一定是BANNER主视觉,然后是网站主体内容部分。相比较而言,注意到网站底部版权信息的浏览者确实不多,但这并说明网站版权信...

日期:2018-09-20 浏览次数:1910

网站设计需要注意的3点问题...

对于网站设计来讲会受到很多因素的影响,而且不同类型的网站,在设计时需要体现的元素也不一样,比如说对于一个企业网站更想体现出品牌以及产品的特点,主要是对产品、企业信...

日期:2018-02-12 浏览次数:1826

企业网站为什么要改版 改版选择...

网站改版,是每个建站企业必须面临的工作。相信也有不少站长问,已经做好的企业网站,为何还要大费周章重新进行改版设计呢?下面小编就来给大家说说,企业究竟为什么要改变,并...

日期:2018-03-26 浏览次数:1360

永城网站制作:模板建站不可不...

随着互联网建站尤其是自助建站热潮不断高涨,建站行业涌现出越来越多的自助建站平台,这些平台普遍都提供网站模板可选。...

日期:2018-04-30 浏览次数:958

相关文章

「龙岩市网站建设」我来说说自...

做网络这么多年,发明,如今许多网络公司拿来给客户做网站的体系,实在都是自助建站的体系。木龙建站为了搞定客户们,跟市面上大部门自助建站公司都签约了署理一方面是为了方...

日期:2019-10-26 浏览次数:60

「定边县网站建设」自助建站和...

带各人一起讨论一下这两种建站的差别吧。 1.从界说角度看: 自助建站,又称模板建站,便是通过已经做好的模板来搭建本身的网站。用户不必要懂代码,只必要通过在线编辑,选择得...

日期:2019-11-10 浏览次数:59

「桦甸市网站建设」对于想做移...

如今的人是越来越懒了,能在家购物绝不出去,能用手机办理的事就懒得再找电脑。凭据客岁公布的一份中国电商消耗举动陈诉中表现:移动购物行业用户范围和渗出率在已往一年内快...

日期:2019-10-24 浏览次数:59

「烟台市网站建设」我想建一个...

如今的人是越来越懒了,能在家购物绝不出去,能用手机办理的事就懒得再找电脑。凭据客岁公布的一份中国电商消耗举动陈诉中表现:移动购物行业用户范围和渗出率在已往一年内快...

日期:2019-11-01 浏览次数:59

「太仆寺seo」重庆网站建设前期...

近来有很多人都在问一些关于网站建立方面的题目,好比建网站前必要预备些什么、页面应该要怎么计划、网站怎样引流等等,本日,小编先来给各人说一说重庆网站建立前期必要留意...

日期:2019-10-30 浏览次数:59

随机推荐

QQ邮箱接收不到GoDaddy邮件怎么办...

「江苏做网站」建站:用户的大...

回顾中国三大黑客培训网站 探寻...

如何利用江湖商圈O2O系统快速引...

又有新功能上线?BAOCMS增加酒店...

建站宝盒操作教程之如何制作微...