我在web应用程序中实现了一个每页CSRF令牌。然而，我有一个想法。如果攻击者在提交恶意POST请求之前，在页面上提交GET请求并捕获CSRF令牌，会发生什么情况？有什么我可以防止外部网站从我的web应用请求数据的地方吗？
浏览 8提问于2020-04-22得票数 0
1回答
谁能访问X令牌？
、、
我真的对我继承的Spring应用程序中的CSRF令牌实现感到困惑。基本上，每个人都可以通过查看Spring安全过滤器所做的事情来请求令牌： .exceptionHandling() .and()
.antMatchers(HttpMethod.GET,"/to
浏览 0提问于2019-09-08得票数 1
回答已采纳
1回答
我看过这个回购程序：https://github.com/jeongl/express-jwt-csrf-auth
这个实现的总结是，在经过身份验证的请求中，他们在cookie1中发送一个CSRF令牌，在cookie2中发送一个JWT令牌(其中包括CSRF令牌)。然后，客户端将csrf令牌从cookie1中取出，并在本地存储它(假设)，并使用csrf令牌发出一个带有x令牌头的请求</em
浏览 0提问于2017-10-12得票数 2
2回答
我的CSRF保护方法安全吗？
、、、、
我一直在使用PHP进行我自己的CSRF保护。根据我所读到的，我决定使用cookie来实现我的保护，但是对于我的方法是否对CSRF攻击是安全的感到有点困惑。所以我的方法如下：
通过检查CSRF令牌是否在POST请求中来验证CSR
浏览 7提问于2017-09-27得票数 3
回答已采纳
我的理解是，CSRF可以防止攻击者使用<img>标签让受害者的浏览器发送使用会话cookie进行身份验证的请求。既然<img>总是使用GET请求提交，而不是POST，那么为什么需要在POST请求中使用CSRF令牌呢？
此外，如果不能运行代码，攻击者将无法在网页中提交表单(即。XSS攻击)，在这种情况下，他们无论如何都可以绕过您的CSRF保护
浏览 0提问于2014-01-16得票数 0
我正在尝试在我的一个项目中使用CSRF令牌实现CSRF保护。我对此并不熟悉，在阅读有关在请求中向服务器发送CSRF令牌的文章时，我发现推荐将CSRF令牌作为HTTP POST发送，而不是GET。我的问题是：
如果HTTP URL在GET请求中暴露了CSRF令牌，并且潜在攻击者可以使用此CSRF
浏览 2提问于2016-09-04得票数 2
1回答
当用户单击恶意链接时易受攻击。
、、、、
(在这个场景中，使用了guid，但是在现实场景中可以使用更好的机制)
攻击者向受害者发送恶意链接，对其状态进行一些更改(发送朋友请求，删除用户，注销受害者.)。
浏览 1提问于2019-05-23得票数 0
回答已采纳
2回答
我的大部分GET请求都是由角触发的，这使得在标头中设置CSRF令牌变得很容易。这已经为POST请求提供了现成的服务，但是我想知道我是否也可以对GET请求使用CSRF保护。我最初的直觉是在视图的get方法之前添加@csrf_protect，例如： @csrf_protect
浏览 4提问于2013-04-02得票数 1
回答已采纳
根据OWASP测试指南，CSRF令牌不应该包含在GET请求中，因为令牌本身可能被记录在不同的地方，例如日志，或者因为冒险冲浪。我想知道您是否只允许使用CSRF令牌一次(因此在一个请求无效之后)，这是否仍然是不安全的？考虑到当有人记录令牌时，如果攻击者想要执行CSRF，它就已经失效和不可用了。
浏览 0提问于2013-05-30得票数 20
回答已采纳
2回答
揭开CSRF的神秘面纱？
、、、、
因此，换句话说，如果浏览器(我在这里特别将范围缩小到web浏览器)没有使用基于cookie的会话密钥来标识服务器上的会话，那么CSRF攻击就不会发生。我理解得对吗？在登录到http://notsosecurebank.com时，您会被骗去点击这个链接，但是http://notsosecurebank.com并不使用cookie来跟踪您的登录会话，因此该链接不会造成任何损害，因为请求无法进行身份验证，只会在垃圾中抛出？攻击者不知道客户端id和客户端机
浏览 0提问于2017-11-05得票数 1
回答已采纳
我在阅读CSRF的时候遇到了这个问题：我知道您不应该在get URL中包含令牌，因为它们可能会被记录下来。
浏览 8提问于2016-08-29得票数 0
回答已采纳
我想通过在ASP.NET MVC部件中生成一个AntiForgeryToken来保护它免受ASP.NET 攻击，然后将它传递给AngularJS，然后让Web 验证从后续<code>E 116</code“跨站点请求伪造(CSRF)是一种攻击，它迫使最终用户在当前通过身份验证的web应用程序上执行不必要的操作。CSRF攻击专门针对状态变化的请求，而不是窃取数据，因为攻击者无法看到对伪造请求的响应。借助一些社
浏览 8提问于2015-09-08得票数 43
回答已采纳
1回答
我读了这篇文章，但我仍然不明白CSRF令牌是如何阻止CSRF令牌的。
让我困惑的主要问题是，为什么攻击者可以向我的网站发出任何http请求，但他不能读回响应？1、如果我在每次post请求之前发布一个http请求来获取token，攻击者也可以发出一个"get token“请求来获取token。2Token如果我在加载.h
浏览 3提问于2012-07-02得票数 4
回答已采纳
我有一个SPA应用程序，在那里，我试图实现桑克顿的CSRF保护。从医生那里：
现在我在登录前请求CSRF令牌。axios.get('/sanctum/csrf-cookie').then(resp
浏览 1提问于2021-02-15得票数 0
2回答
我有一个yii (php)项目，现在我想测试一下，它是否对csrf攻击是安全的。if (!Yii::app()->request->isAjaxRequest)){} else { }
浏览 3提问于2015-05-20得票数 1
回答已采纳
我已经看过CSRF资金从用户登录的银行转帐的例子。同样，我也看过CSRF的电子邮件更新。我想我理解它，但我不太确定它是否也扩展到未经认证的请求/表单提交。由于用户在此应用程序中永远不会进行身份验证，那么是否仍然需要保护所有表单/请求不受CSRF的影响？如果没有，在什么情况下需要实施CSRF保护？此外，对于未经身份验证的用户，是否应该保护搜索不受CSRF<
浏览 0提问于2015-04-13得票数 6
通过启用和使用Spring安全性，我将CSRF令牌应用于登录表单。当我进入登录页面时，我可以看到使用名称_csrf自动生成的CSRF令牌。但是，当我使用ZAP扫描该项目时，仍然会收到有关反CSRF令牌的警告，如：抗csrf攻击失败。
我还尝试使用删除或编辑字段_csrf令牌，然后使用有效的用户名/密码登录。在这种情况下，我的网站总是返回405错误，所以我认为反csrf令牌工作正常.Csrf令牌是与会话一起生成的，因此不可能将csrf<
浏览 0提问于2019-05-03得票数 1
云服务器
ICP备案
云直播
腾讯会议
实时音视频
腾讯云开发者
