88问答网
所有问题
json格式的csrf
如题所述
举报该问题
推荐答案 2023-05-19
关于防御方案,一般有如下几种:
1)用户操作验证,在提交数据时需要输入验证码
2)请求来源验证,验证请求来源的referer
3)表单token验证
现在业界对CSRF的防御,一致的做法是使用一个Token(Anti CSRF Token)。
这个Token的值必须是随机的,不可预测的。由于Token的存在,攻击者无法再构造一个带有合法Token的请求实施CSRF攻击。另外使用Token时应注意Token的保密性,尽量把敏感操作由GET改为POST,以form或AJAX形式提交,避免Token泄露。
例子:
第一步:用户访问某个表单页面。
第二步:服务端生成一个Token,放在用户的Session中,或者浏览器的Cookie中。
第三步:在页面表单附带上Token参数。
第四步:用户提交请求后,服务端验证表单中的Token是否与用户Session(或Cookies)中的Token一致, 一致为合法请求,不是则非法请求。
4) 在前后端分离的前提下(例如使用ajax提交数据)设置不了token,可以给 cookie 新增 SameSite 属性,通过这个属性可以标记哪个 cookie 只作为同站 cookie (即第一方 cookie,不能作为第三方 cookie),既然不能作为第三方 cookie ,那么别的网站发起第三方请求时,第三方网站是收不到这个被标记关键 cookie,后面的鉴权处理就好办了。这一切都不需要做 token 生命周期的管理,也不用担心 Referer 会丢失或被中途被篡改。
SameStie 有两个值:Strict 和 Lax:
SameSite=Strict 严格模式,使用 SameSite=Strict 标记的 cookie 在任何情况下(包括异步请求和同步请求),都不能作为第三方 cookie。
SameSite=Lax 宽松模式,使用 SameSite=Lax 标记的 cookie 在异步请求 和 form 提交跳转的情况下,都不能作为第三方 cookie。
温馨提示:答案为网友推荐,仅供参考
当前网址:
http://88.wendadaohang.com/zd/tt1M1MacBS1Kt11SSV.html
其他回答
第1个回答 2022-06-23
数据以json格式传输,没有添加token,没有限制refer,但是服务器验证了Content-Type是否为application/json
通过Flash跨域构造POC,Flash的Header存在一个黑名单,黑名单中的Header不允许设置,比如Referer,但是Content-Type不在黑名单中;
通过307重定向带着Content-Type和Postdata进行跳转。
将read.html、test.swf文件、test.php放在自己的服务器下,并构造如下请求:
https://example.com/read.html?jsonData=
{"test":1}&php_url=
https://example.com/test.php&endpoint=https://sometargethost.com/endpoint
传输的数据满足要求:
执行流程:
https://github.com/sp1d3r/swf_json_csrf
相似回答
如何保护数据并防止
JSON
漏洞和劫持
答:
1、所有请求方法都必须是POST并阻止您的代码只接受POST请求(这是最重要的)$ .ajax({ url:'http://yourdomainname.com/login', dataType:'
json
', data:
JSON
.stringify(dataObject), contentType:'application / json; charset=utf-8' , type: 'POST', success:function(jsonData){ //...
CSRF
攻击预防的Token生成以及验证原理
答:
Header 部分是一个
JSON
对象,描述 JWT 的元数据,通常是下面的样子。alg属性表示签名的算法(algorithm),默认是 HMAC SHA256(写成 HS256)typ属性表示这个令牌(token)的类型(type),JWT 令牌统一写为JWT。Payload 部分也是一个 JSON 对象,用来存放实际需要传递的数据。JWT 规定了7个官方字段,...
CSRF
攻击是什么
答:
csrf
全称 Cross-site request forgery, 通常缩写为
CSRF
或者 XSRF, 中文名
跨站请求伪造
. 是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。 . CSRF 攻击手段是通过发起改变状态的请求, 而不是窃取用户的数据, 因为攻击者无法得到服务器返回的响应 攻击者通过一些技术手段欺骗用户...
详解浏览器跨域访问的几种办法
答:
CSRF
攻击利用受害者信息执行恶意操作,防范手段包括验证Referer、SameSite属性和使用token。面对DNS劫持和点击劫持,HTTPS、X-FRAME-OPTIONS和限制JavaScript是我们的防线。防范SQL注入,要限制权限、转义字符和实施参数化查询。当谈到客户端的JavaScript行为,同源策略犹如一道无形的墙。它限制了Cookie、LocalStorage和...
什么是AJAX?
答:
}]}
JSON格式
数据 JSON格式数据 由上面的两端代码可以看出,JSON 简单的语法格式和清晰的层次结构明显要比 XML 容易阅读,并且在数据交换方面,由于 JSON 所使用的字符要比 XML 少得多,可以大大得节约传输数据所占用得带宽。 AJAX简介 AJAX(Asynchronous Javascript And XML)翻译成中文就是“异步的Javascript和XML”。即...
如何利用Python爬取网易云音乐热门评论
答:
csrf
_token= 这个请求当中,如下图:点开这个请求,我们发现它是一个post请求,请求的参数有两个,一个是params,还有一个是encSecKey,这两个参数的值非常的长,感觉应该像是加密过的。如下图:服务器返回的和评论相关的数据
为json格式的
,里面含有非常丰富的信息(比如有关评论者的信息,评论日期,点赞数,评论内容等等),...
怎么样把vip的歌曲下载到mp3里面
答:
1、首先打开酷我音乐官网https://kuwo.cn,然后随便搜一个歌手或者歌名。2、按F12打开浏览器开发者工具,并且刷新一下页面。3、对请求头进行分析发现,有一个
csrf
参数,其实这个就是关键,只有带着这个参数才能正常访问成功。4、并且通过进一步观察发现,csrf参数的值就在请求Cookie中,并且当访问酷我首页...
网易云API
答:
搜索歌曲API:请求方式:post 请求地址: http://music.163.com/api/search/get/web?
csrf
_token= 请求数据:hlpretag=&hlposttag=&s=搜索歌曲名或歌手名&type=1&offset=0&total=true&limit=返回数据条数 请求头部:(仅供参考)数组形式 'Host: music.163.com',返回数据:
json数据格式
,这里就...
大家正在搜
json的几种数据格式
json格式是什么
json数组格式
json格式怎么转换
json格式解析
json格式数据
json文件格式
json串格式
json数据格式示例