La différence entre l'attaque php csrf et l'attaque xss

Le concept de base, l'abréviation et le nom complet de CSRF

CSRF (Cross-site request falsification) : Cross-site demander un faux. (Apprentissage recommandé : Tutoriel vidéo PHP)

PS : Assurez-vous de vous souvenir du nom chinois. Le nom anglais complet, si vous ne vous en souvenez plus, oubliez-le.

Le principe de l'attaque CSRF

L'utilisateur est un utilisateur enregistré du site Web A et se connecte, le site Web A émet donc des cookies à l'utilisateur.

Comme le montre la figure ci-dessus, pour mener à bien une attaque CSRF, la victime doit remplir deux conditions nécessaires :

(1) La connexion est fiable Site Web A, et générer des cookies localement. (Si l'utilisateur n'est pas connecté au site Web A, alors le site Web B vous demandera de vous connecter lors de la demande de l'interface API du site Web A lors de l'induction)

(2) Visitez des sites Web dangereux sans vous déconnecter de A B (en exploitant en fait la vulnérabilité du site Web A).

Lorsque nous parlons de CSRF, nous devons clarifier les deux points ci-dessus.

Pour rappel, les cookies garantissent que les utilisateurs peuvent être connectés, mais le site Web B ne peut pas réellement recevoir de cookies.

Concepts de base de XSS

XSS (Cross Site Scripting) : Attaque de script inter-domaines.

Principe de l'attaque XSS

Le principe de base de l'attaque XSS est le suivant : vous n'avez pas besoin de procéder à une authentification de connexion, elle passera des opérations légales (telles que la saisie du url , entrez dans la zone de commentaire), injectez des scripts (peut-être js, des blocs de code hmtl, etc.) dans votre page.

Le résultat final peut être :

Vol de cookies pour détruire la structure normale de la page, insertion de publicités et autres contenus malveillants, attaques D-doss

La différence entre CSRF et XSS

Différence 1 :

CSRF : L'utilisateur doit d'abord se connecter au site Web A pour obtenir des cookies. XSS : aucune connexion requise.

Différence 2 : (Différence de principe)

CSRF : Il utilise la vulnérabilité du site Web A lui-même pour demander l'API du site Web A. XSS : injecte du code JS dans le site Web A, puis exécute le code dans JS pour falsifier le contenu du site Web A.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!