本文目录
- CSRF(跨站请求伪造)
- 当我用django的超级用户登录时候，出现CSRF的错误，如图，怎么解决啊
- 表单、AJAX 提交必须执行 CSRF 安全验证
- 什么是 CSRF攻击
- 对网站群管理平台进行ZAP和AWVS模拟攻击发现的漏洞按STRIDE 模型分类，分别属于哪一种类型具体如下：
- adminer执行提示“无效 CSRF 令牌重新发送表单”的问题
CSRF(跨站请求伪造)
2021-11-24 跨站点请求伪造(Cross—Site Request Forgery)，伪装来自受信任用户的请求来利用受信任的网站。简单来说CSRF就是获取凭证伪造身份去做事。 详细点说：假如A网站中存在CSRF漏洞，攻击者构造一个利用的POC，发送给受害者(在浏览器中处于登陆状态)，让受害者点击POC，导致受害者在A网站上的的资料被修改或者钱财被转移。 所有用户进行操作的位置都可能存在CSRF，修改信息、密码、头像。 1.利用浏览器中缓存的cookie 2.没有一次型的token验证 1.修改受害者的一些资料、转账或者改密码 2.如果获取到应用程序中的管理员cookie，攻击者完全可以控制应用的所有数据和功能 1.资源包含 资源包含是在大多数介绍CSRF概念的演示或基础课程中可能看到的类型。这种类型归结为控制HTML标签（例如《image》、《audio》、《video》、《object》、《script》等）所包含的资源的攻击者。如果攻击者能够影响URL被加载的话，包含远程资源的任何标签都可以完成攻击。 2.基于表单 通常在正确使用安全的请求方式时看到。攻击者创建一个想要受害者提交的表单; 其包含一个JavaScript片段，强制受害者的浏览器提交。 3.XMLHttpRequest 基于XHR的CSRF通常由于SOP而以XSS有效载荷的形式出现。没有跨域资源共享策略 (Cross-Origin Resource Sharing, CORS)，XHR仅限于攻击者托管自己的有效载荷的原始请求。 通过CSRF-token或者验证码来检测用户提交 验证 Referer/Content-Type 对于用户修改删除等操作最好都使用POST操作 避免全站通用的Cookie，严格设置Cookie的域 ***隐藏网址*** 1.跨账户使用令牌 2.替换相同的长度 3.从请求中删除csrf token 4.解码CSRF token 5.通过HTML提取CSRF token 6.只使用token的静态部分 ***隐藏网址***
当我用django的超级用户登录时候，出现CSRF的错误，如图，怎么解决啊
需要在《form》后面加上csrf_token。如：《form method="post"》{% csrf_token %}xxx《/form》或者修改django源码：django/middleware/csrf.py process_view在“# If the user doesn’t have a CSRF cookie”上面增加以下代码：if request.path.startswith(’/admin’): return accept()如果django版本为1.2.5，则修改为：if request.path.startswith(’/admin’): return self._accept(request)这表示 请求url是/admin的话，即使form后面没带csrf_token也可以访问。
表单、AJAX 提交必须执行 CSRF 安全验证
***隐藏网址*** CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（ XSS ），但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与 XSS 攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比 XSS 更具危险性。 Thanks ~
什么是 CSRF攻击
，即在某个恶意站点的页面上，促使访问者请求你的网站的某个 URL（通常会用 POST 数据方式），从而达到改变服务器端数据的目的。这一类攻击依赖于你的网页中的表单，脆弱的表单很容易受到攻击。对于你网站中的访问者而言，可能会受到以下攻击：* 在你的网站之外记录受攻击者的日志（比如：Slashdot）；* 修改受攻击者在你的网站的设置（比如：Google）；* 修改你的硬件防火墙；* 使用受攻击者的登录信息在你的网站中发表评论或留言；* 将资金转移到另一个用户帐号中。CSRF 攻击的典型是那些使用 cookie 记录登录信息的网站，但对于一些允许某个 IP 地址访问的页面（如内部网），这一类攻击也会奏效。CSRF 攻击通常会使用到 JavaScript（但不仅限于 JavaScript）实现跨站点自动提交表单－－表单数据可以隐藏，提交按钮可以伪装成链接或滚动条。* 确定那些接受可改变服务器数据的 CGI 只接受 POST 参数，不接受 GET 参数，一些服务器端语言默认同时接受两种方式提交过来的参数；* 确定表单提交处理的是你自己的表单，可以使用一个隐藏字段中存放MD5字符串，此字符串是将登录 cookie 数据与服务器端存放的密钥进行 MD5 之后的结果，只有这个 MD5 字符串正确时才接受表单数据；* 另外还可以增加一个更为严格的方法：在表单中增加一个时间戳的隐藏字段，并将其包含到 hash 字符串中，如果时间戳超过某个时间，则认为表单已过期。当表单过期时，给出一个方法可以让用户重新提交表单，比如将用户之前填写的数据依旧放入表单中，但使用一个新的 hash 字符串。一个PHP的表单例子，表单代码：《?php$key = y8s4Z7m2; //MD5加密密钥$time = time(); //当前时间$hash = md5($time.$key); //hash 字符串?《form method="post" action="comment.php"《pYour name: 《input type="text" name="person_name" /《/p《pComment: /《textarea name="comment" rows="10" cols="60"《/textarea《/p《input type="hidden" name="time" value="《?php echo $time; ?" /《input type="hidden" name="hash" value="《?php echo $hash; ?" /《p《input type="submit" name="comment" value="Submit Comment" /《/p《/form表单提交之后的 comment.php 后台处理程序代码：《?php$key = y8s4Z7m2; //密钥，与上面的一致$expire = 1800; //表单过期时间：半小时$my_hash = md5($_POST $expire) {//表单已经过期，生成新的时间戳和 hash 字符串，显示表单让用户重新提交。（此处省略）//….}//表单验证通过，可以接受表单提交的数据，并进行其它操作。//….?
对网站群管理平台进行ZAP和AWVS模拟攻击发现的漏洞按STRIDE 模型分类，分别属于哪一种类型具体如下：
手机存在的漏洞其实有很多，腾讯玄武实验室最近就发现了一个漏洞叫做应用克隆通过这个漏洞可以无限的去复制软件包括软件内的信息和文件所以要及时的去用管家来保护手机的安全，软件需要更新的时候及时的升级更新
adminer执行提示“无效 CSRF 令牌重新发送表单”的问题
向服务器提交文件session.php 访问页面如果一直输出1，则表示session有问题 提交文件phpinfo.php 找到session.save_path参数的目录 在服务器上给这个目录777权限
