全球主机交流论坛

标题: 关于云端点赞想到了csrf攻击 [打印本页]

作者: ufcmma 时间: 2021-10-19 16:15
标题: 关于云端点赞想到了csrf攻击
csrf官方解释请自行百度，我举个例子科普下

假如论坛修改密码的请求是/password.php?new=xxx

如果你要修改密码，那么需要你登录论坛，然后服务器验证了cookie才能修改，如果没有登录，访问这个链接是没有用的

一天我装了某插件，大家也没有审计过源码，然后作者某天更新了插件代码，在里面用js加了一句

fetch("/password.php?new=123")

你打开了论坛，然后密码就被修改了

原理就是这个请求是通过你自己浏览器去发送的，带了你的cookie，然而你并不知道

那么到了那天之后，所有用插件的人的密码都被修改为123

解决办法就是审计源码，或者谨慎使用

作者: HOH 时间: 2021-10-19 16:16
人家不需要你cookie，下发指令由用户端执行就可以了

作者: ufcmma 时间: 2021-10-19 16:17

HOH 发表于 2021-10-19 16:16
人家不需要你cookie，下发指令由用户端执行就可以了

你没看懂就算了，我说的就是你想的那个意思

作者: haimianbaobao 时间: 2021-10-19 16:17
提示: 作者被禁止或删除内容自动屏蔽

作者: 药丸 时间: 2021-10-19 16:17
改密码不需要原始密码？

作者: 吃花椒的喵酱 时间: 2021-10-19 16:17
提示: 作者被禁止或删除内容自动屏蔽

作者: nnt 时间: 2021-10-19 16:18
CSRF是跨站请求伪造，论坛大师是运行在用户浏览器的油猴插件上的，不属于此范畴。

作者: ufcmma 时间: 2021-10-19 16:19

药丸发表于 2021-10-19 16:17
改密码不需要原始密码？

只是举个例子，证明他可以通过前端伪造你的请求

作者: By小酷 时间: 2021-10-19 16:19

ufcmma 发表于 2021-10-19 16:19
只是举个例子，证明他可以通过前端伪造你的请求

比如自杀代码

作者: inighty 时间: 2021-10-19 16:21
这样的风险你装的所有脚本都可以给你带来。只是这个脚本让你引起了注意罢了。

作者: 买鸡吃灰 时间: 2021-10-19 16:21

那也能下发指令帮他点广告吧

作者: 药丸 时间: 2021-10-19 16:23

ufcmma 发表于 2021-10-19 16:19
只是举个例子，证明他可以通过前端伪造你的请求

如果这样的话，其实任何脚本都有同样的风险

作者: hooper 时间: 2021-10-19 16:39
CSRF-Cross-site request forgery；建议学习下什么是跨站；就是在loc伪造你在隔壁站的请求；另外，你说的情况确实可以实现，脚本是基于信任安装的；你请的杀手帮你报仇，杀手同样能把你杀掉，风险和收益是自己权衡的，另外，没人强迫你安装，顶论坛大师，超方便！

作者: 乌拉擦 时间: 2021-10-19 17:00
脚本的初心是好的，揣测过多无意义

作者: IPLC 时间: 2021-10-19 17:31
插件不就是javascript吗？你自己不能审计代码吗？

作者: b66667777 时间: 2021-10-19 18:33
啊这。。。

欢迎光临全球主机交流论坛 (https://443502.xyz/)