本帖最后由 无路赛 于 2020-6-9 13:50 编辑
Cross-site request forgery(跨站请求伪造),简称为“CSRF”,在CSRF的攻击场景中攻击者会伪造一个请求(这个请求一般是一个链接),然后欺骗目标用户进行点击,用户一旦点击了这个请求,整个攻击就完成了。
黑客vince登录自己的个人中心,将手机号码修改为18888888888方便分辨,点击提交并拦截数据包 然后将这个数据包制作成一个恶意链接
我们将链接发送给Allen,Allen点击了我们的链接以后,个人信息就被我们修改了
现在我们把这个恶意链接发给kobe,kobe家使用了某公司防火墙,并开启默认防护策略 然而kobe也中招了
这时我们将链接发给grady,grady家使用了某公司防火墙,开启了安全防护策略,并在【安全策略模板】-【WEB应用防护】-【默认模板Ⅱ】-【高级配置】-【CSRF防护】中启用了该功能,并配置了CSRF防护策略 设置需要防护的域名和页面,/*代表当前域名下所有url都生效,如果对业务比较熟悉可以配置详细的来源页面 当grady打开我们的恶意链接,直接被防火墙拦截,个人信息得到保护
|