网站漏洞检测 CSRF代码攻击与加固方案

XSS跨站以及CSRF攻击，在目前的渗透测试，以及网站漏洞检测中 ，经常的被爆出有高危漏洞，我们在对客户网站进行渗透测试时，也常有的发现客户网站以及APP存在以上的漏洞，其实CSRF以及XSS跨站很容易被发现以及利用，在收集客户网站域名，以及其他信息的时候，大体的注意一些请求操作，前端输入，get,post请求中，可否插入csrf代码，以及XSS代码。

通常我们在渗透测试客户网站是否存在csrf漏洞，首先采用点击的形式去测试漏洞，在一个网站功能上利用点击的方式绕过安全效验与拦截，从技术层面上来讲，点击的请求操作来自于信任的网站，是不会对csrf的攻击进行拦截的，也就会导致CSRF攻击。再一个检测漏洞的方式更改请求方式，比如之前网站使用的都是get提交方式去请求网站的后端，我们可以伪造参数，抓包修改post提交方式发送过去，就可以绕过网站之前的安全防护，直接执行CSRF恶意代码，漏洞产生的原因就是，网站开发者只针对了GET请求方式进行安全拦截，并没有对post的方式进行拦截，导致漏洞的发生。有些客户网站使用了token来防止XSS跨站的攻击，在设计token的时候没有考虑到空值是否可以绕过的问题，导致可以token为空，就可以直接将恶意代码传入到后端中去。还有的网站APP没有token的所属账户进行效验，导致可以利用其它账户的token进行CSRF代码攻击。

那如何防止XSS csrf攻击？ 如何修复该网站漏洞

根据我们十多年来总结下来的经验，针对XSS，csrf漏洞修复方案是：对所有的GET请求，以及POST请求里，过滤非法字符的输入。'分号过滤 --过滤 %20特殊字符过滤，单引号过滤，%百分号，<>,and过滤，tab键值等的的安全过滤。使用token对csrf的请求进行安全效验与拦截，对token的控制进行逻辑功能判断，如果发现token值为空，直接返回404错误，或者拦截该值为空的请求，还有要对token的所属账户进行效验，判断该token是否为当前账户的，如果不是就拦截掉该请求，或者返回错误页面。

使用session与token的双层安全效验，如果seeion与token值不对等，与你的加密算法不一致，就将该请求过滤拦截掉，如果两个的值与加密算出来的值相等，就是合法的请求，但是加密算法一定要隐藏掉，写入到后端，不要被逆向破解掉。对referer字段进行安全效验，检查URL是否是白名单里的，对于referer为空直接拦截掉该请求，URL的白名单要含有WWW，拒绝二级域名的请求。以上就是关于渗透测试中发现的xss csrf漏洞修复方案，如果您对网站代码不是太懂的话，不知道该如何修复漏洞，可以找专业的网站安全公司来处理解决。针对漏洞的修复就到这里了，安全提示：网站，APP在上线的同时，一定要对网站进行渗透测试服务，检测网站存在的漏洞，以及安全隐患，防止后期网站运行中出现一些没有必要的损失。

网页名称：网站漏洞检测 CSRF代码攻击与加固方案
浏览地址：/news15/36665.html

成都网站建设公司_创新互联，为您提供App设计、微信小程序、网站设计公司、微信公众号、外贸建站、网站排名

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联