csrf 相关问题

Cross Site Request Forgery是一种利用网站对用户浏览器的信任的恶意攻击。

CSRF客户端双重提交令牌生成

我正在研究保护网站免受 CSRF 攻击。尽管敏感cookie已经被标记为same-site=lax，但我仍然想实现CSRF令牌。更具体地说是双

javascript cookies http-headers csrf

回答 1 投票 0

为什么期望：100 继续将标头拆分为 2

我是一名安全研究员，在研究一个项目时，我发现当我在请求响应中插入 Expect: 100-continue 标头时，会出现这样的情况： HTTP/1.1 100 继续

javascript http browser cors csrf

回答 0 投票 0

csrf漏洞测试

我在 IIS 上使用机器 A 上的 localhost 托管了一个小型 MVC 应用程序。我的主页中有以下 html。这里的域名是机器B的IP地址，用于测试目的。我在机器 A 上使用 localhost 在 IIS 上托管了一个小型 MVC 应用程序。我的主页中有以下 html。这里的域名是B机的IP地址，用于测试目的。 <div class="row"> <div class="col-md-4"> <h2 class="jumbotron">You have won a prize!</h2> <p> To redeem your prize. Click this button. </p> <form action="http://target_IP_address/eline/webController/Populate" method="POST"> <input type="hidden" name="dateF" value="3/16/2022 3:01:26 PM" /> <input type="hidden" name="dateT" value="3/17/2022 3:01:26 PM" /> <input type="submit" class="btn btn-primary btn-lg" value="Give me my prize" /> </form> </div> </div> 现在，在机器 B 中，我登录到了存在漏洞的网站。然后，我单击一个链接，转到计算机 A 上托管的网站。当我到达该网站时，我单击 "submit" 按钮。这就是我的困惑开始的地方。机器 B 中没有发出此请求的记录。我确实在机器 A 中看到了该请求。这是我看到的。我的印象是我会在机器 B 上看到该请求。因为我在机器 A 上看到了它，所以我确信我搞砸了。如果 response 缺少另一个自定义标头（csrf-token：一些唯一令牌），我实现的用于检查 csrf 攻击的修复应该将自定义标头（csrf-Detected：1）附加到 request。由于此标头没有显示在“响应标头”部分中，因此我认为检查没有发生在 Populate 中的 webController 方法之前。谁能指出我做错了什么？从 Microsoft 网站查看此页面。为了帮助防止 CSRF 攻击，ASP.NET MVC 使用防伪造令牌，也称为请求验证令牌。客户端请求包含表单的 HTML 页面。服务器在响应中包含两个令牌。一个令牌作为 cookie 发送。另一个放置在隐藏的表单字段中。代币是随机生成的，因此对手无法猜测这些值。当客户端提交表单时，它必须将两个令牌发送回服务器。客户端将 cookie 令牌作为 cookie 发送，并且它发送表单数据内的表单令牌。（浏览器客户端当用户提交表单时自动执行此操作。）如果请求不包含两个令牌，服务器将不允许该请求。要将防伪令牌添加到 Razor 页面，请使用 HtmlHelper.AntiForgeryToken 辅助方法： @using (Html.BeginForm("Manage", "Account")) { @Html.AntiForgeryToken() } 此方法添加隐藏表单字段并设置 cookie 令牌。

asp.net-mvc security csrf

回答 1 投票 0

[电子邮件受保护]中自动生成 X-XSRF-TOKEN 标头

根据 XSRF-TOKEN cookie 的值填充 X-XSRF-TOKEN 标头，然后将请求发送到受信任的主机，我感到很沮丧。这个问题是随着 axios libr 的重大变化而来的......

axios csrf interceptor x-xsrf-token

回答 1 投票 0

Rails 6 CSRF 令牌过期问题

我们在生产环境中遇到表单提交问题。该标准似乎异常罕见，我无法复制该问题。 CSRF 令牌已创建并验证...

ruby-on-rails ruby csrf csrf-token

回答 2 投票 0

JWT（XSS）与 Cookie（CSRF）？

我是一家初创公司的 Python 后端开发人员。最近，我被要求构建 API 的身份验证系统，我使用 FastAPI 框架实现了基于令牌的身份验证机制（JWT）...