天清万兆WAF防御跨站请求伪造(CSRF)

安全
天清Web应用安全网关系统主要采用了两种方法防御CSRF攻击:针对HTTP请求头的referer来判断访问来源进行防护;防止referer本身被伪造,通过专有算法进行防护。

什么是跨站请求伪造

CSRF(Cross-site request forgery跨站请求伪造,也被称成为“one click attack”或者session riding,通常缩写为CSRF或者XSRF,是一种对网站的恶意利用。攻击者伪装成来自受信任用户的请求,用户在浏览正常请求页面的同时访问该伪装的受信任用户请求,通过该方式实现CSRF攻击。

天清万兆WAF防御跨站请求伪造(CSRF)

跨站请求伪造攻击原理

从上图可以看出,要完成一次CSRF 攻击,受害者必须依次完成两个步骤:

1. 登录受信任网站A,并在本地生成Cookie。

2. 在不登出A 的情况下,访问危险网站B。

看到这里,你也许会说:“如果我不满足以上两个条件中的一个,我就不会受到CSRF 的攻击”。是的,确实如此,但你不能保证以下情况不会发生:

1. 你不能保证你登录了一个网站后,不再打开一个tab页面并访问另外的网站。

2. 你不能保证你关闭浏览器了后,你本地的Cookie立刻过期,你上次的会话已经结束(事实上,关闭浏览器不能结束一个会话,但大多数人都会错误的认为关闭浏览器就等于退出登录/结束会话了)。

天清WAF全面防御CSRF攻击

启明星辰公司自主研发的天清Web应用安全网关系统,采用了专利技术的算法,对防御CSRF攻击有显著的效果。

天清Web应用安全网关系统主要采用了两种方法进行防护:

1. 针对HTTP请求头的referer来判断访问来源进行防护。通过refer方法进行CSRF攻击防护是目前WAF厂商通用的防护方法,能防护大部分CSRF攻击。

2. 防止referer本身被伪造,通过专有算法进行防护。启明星辰WAF产品使用该算法能很好防御referer本身被伪造攻击,弥补了只基于referer防护方法的不足。

责任编辑:蓝雨泪 来源: 51CTO.com
相关推荐

2013-05-22 18:20:18

2013-05-22 18:06:41

2013-05-22 17:43:21

2013-08-19 10:59:48

2011-04-19 13:40:27

2017-11-02 14:39:54

2017-11-02 15:28:52

2012-12-10 10:32:22

2010-09-27 17:37:10

2015-09-15 10:52:52

2013-04-24 15:56:40

2012-05-25 13:45:05

2013-06-09 13:41:52

2012-04-12 15:27:44

2021-12-09 09:51:30

插件安全工具lazyCSRF

2021-06-03 10:16:12

CSRF攻击SpringBoot

2012-07-24 23:38:38

启明星辰Web应用防火墙

2013-04-11 12:36:41

2011-05-10 09:55:14

2016-09-30 15:59:41

点赞
收藏

51CTO技术栈公众号