MVC Html.AntiForgeryToken() による CSRF 攻撃の防止_html/css_WEB-ITnose

MVC の

Html.AntiForgeryToken() は、クロスサイト リクエスト フォージェリ (CSRF: クロスサイト リクエスト フォージェリ) 攻撃を防ぐために使用される対策です (XSS は CSS: Cross-Site-Script とも呼ばれます)。 ) 攻撃は異なります。XSS は通常、サイト上の信頼できるユーザーを使用して Web サイトに悪意のあるスクリプト コードを挿入して攻撃しますが、CSRF は信頼できるユーザーのふりをして Web サイトを攻撃します。

簡単な例を挙げると、例えば、システム全体のお知らせが Web サイトのホームページに表示され、このお知らせがバックグラウンドから送信されるとします。

ホームページを設定する という最も単純な書き方を使用します。 Web サイトの背景 (ホーム/インデックス ページ) のアナウンス コンテンツ、HomeController に送信されたテキスト アクション

[html] プレーン コピーを表示

1. @using (Html.BeginForm("Text","Home" ,FormMethod.Post))
2. {
3. @ :ウェブサイトのお知らせ:
5. }

HomeController のテキストアクション

[csharp] プレーンコピーを表示

1. [HttpPost]
2. public ActionResult Text()
3. {
4. ViewBag. Notice = Request.Form[" Notice "]. Tostring (); 通常、いくつかの条件に依存します
5. (1) 攻撃者は被害者のいるサイトを知っています
6. (2) 攻撃者のターゲットサイト永続的な認証 Cookie を持っている、または被害者が現在のセッション Cookie を持っている

詳細については、http://baike を参照してください。 .baidu.com/view/1609487.htm

[html]

「この Web サイトをハックする」をクリックすると、次のように表示されます

これは、脆弱性を利用して、ホームページ上のアナウンスを変更するものです。これは、単純なクロスサイト攻撃の例です。

MVC は、ページで Html.AntiForgeryToken() を使用し、対応するアクションに [ValidateAntiForgeryToken] 機能を追加することで、クロスサイト攻撃を防ぎます。
上記のコードを
2. に変更します

   [html] view plain copy

   @using (Html.BeginForm("Text","Home",FormMethod.Post))
   {
   @Ht ml.AntiForgeryToken()
   @:网站公告:  
     
   }

   对应的アクション
   

   [csharp] プレーン表示 コピー

   [HttpPost]
   [ValidateAntiForgeryToken]
   public ActionResult Text()
   {
   ViewBag. Notice = Request.Form[" Notice"].ToString();  
   return View();  
   }
   この子私はAntiForgeryText.html の中点「黑掉この网站」，就会出现
   この種は跨站攻撃击を阻止します。

   页面上のHtml.AntiForgeryToken () 会議参加者の __RequestVerificationToken という名前の cookie

   はフォームからの投稿を承認するため、目上のアクションに [ValidateAntiForgeryToken] 特性を追加する必要があります。

   (1)要求に、指定された AntiForgery 名の cookie が含まれているかどうか
   
   (2) 要求に、Request.Form["指定された AntiForgery 名"]、指定された AntiForgery 名の cookie と Request.Form が一致するかどうか

   主に System.Web.WebPages.dll 内の静的な AntiForgery

   Html.AntiForgeryToken() に関連する AntiForgery の静的な GetHtml メソッドを使用して、クライアント Cookie と表面の隠しフィールドにそれぞれ格納されます。

   (1)Request.Cookies[antiForgeryTokenName](默认もRequest.Cookies["__RequestVerificationToken"])

   (2)页面上のhiddenfield
   

   [html]

   view plain copy

   < ;input name="__RequestVerificationToken" type="hidden" value="9rUlMYvsH6eMcFN9tn/wRwAG07eROraVaeTn9hHMXKkMmDbR8jLw5DKdVnZBJ9siQHeGyl1w4rSB141LnxMp2ahV0qP1lElPeukqfcUFYoxrm/EfpSJ jZavykmzn15VeGFMKkmgFj5a1UFhZFaW2aZgeN38x9lt0OFSoca7eMVU=" />  

   的key的的的的页面页面页面页面页面页面页面的的的是一样、默认默认是 "__ requestverificationtoken"

   
   

   Controller 端末は、アクション上で [ValidateAntiForgeryToken] 特性を追加します。
   Validate メソッド内で、AntiForgery の Validate メソッドを使用します。主要验证Request.Cookies[antiForgeryTokenName] と二つの值が同じかどうか、
   如果页面がない、または二者不相等
   （二）CSRF 攻撃に関する解決策 [ValidateAntiForgeryToken]

   一.CSRF とは何か么？

   CSRF（クロスサイト） request forgery）、中文名：跨站请求伪造、別名：ワンクリック攻撃/セッションライディング、表記：CSRF/XSRF。 CSRF が実行できる状況には、名前を使ってファイルを送信したり、メッセージを送信したり、番号を盗んだり、商品を偽装したり、仮想通貨を転送したりすることが含まれます。 ....造られた問題には、個人の私的暴露と生産の安全性が含まれます。

   CSRF攻撃手法は2000年に外国の安全保障関係者によって提案されましたが、中国で注目され始めたのは2006年になってからでした。2008年には、国内外の複数の大規模コミュニティやインタラクティブなWebサイトでCSRFの脆弱性が暴露されました。 .com (New York Times)、Metafilter (大規模な BLOG Web サイト)、YouTube、Baidu HI... 現在、インターネット上の多くのサイトはまだこの問題に対して準備ができていません。そのため、セキュリティ業界は CSRF を「眠れる巨人」と呼んでいます。

   4. CSRF の原理

   上の図からわかるように、被害者は 2 つのステップを順番に完了する必要があります:

   1.信頼できる Web サイト A、およびローカルで Cookie を生成します。

   2. Aからログアウトせずに危険なWebサイトBにアクセスします。

   これを見て、あなたはこう言うかもしれません：「上記の2つの条件のいずれかを満たさなければ、CSRFから攻撃されることはありません。」はい、その通りですが、次のような状況が起こらないとは保証できません:

   1. Web サイトにログインした後、タブ ページを開いて別の Web サイトにアクセスしないという保証はできません。

   2. ブラウザを閉じた後、ローカル Cookie がすぐに期限切れになり、最後のセッションが終了することを保証することはできません。 (実際には、ブラウザを閉じることでセッションを終了することはできませんが、ほとんどの人はブラウザを閉じることがセッションのログアウト/終了と同等であると誤解しています...)

   3. 上の写真のいわゆる攻撃 Web サイト、それは信頼できる、頻繁にアクセスされる Web サイトに他の脆弱性がある可能性があります。

   上記の内容は以下から転載されています:

   具体的な手順:

   1. CSRF 攻撃を防ぐには、HTML フォームで @Html.AntiForgeryToken() を使用します。

   2. それに応じて、[ValidateAntiForgeryToken] フィルター機能をコントローラーに追加する必要があります。この機能は、サーバーリクエストが改ざんされているかどうかを示します。注: この機能は post リクエストにのみ使用でき、get リクエストは無効です。

   3. JS に関しては、プロジェクトは

   著者別の最新記事

   • NullPointerException とは何ですか?どのように修正すればよいですか?
     2024-10-22 09:46:29
   • 初心者からプログラマーへ: 旅は C の基礎から始まります
     2024-10-13 13:53:41
   • PHP による Web 開発のロックを解除する: 初心者ガイド
     2024-10-12 12:15:51
   • C の謎を解く: 新人プログラマーのための明確でシンプルな道
     2024-10-11 22:47:31
   • コーディングの可能性を解き放つ: まったくの初心者のための C プログラミング
     2024-10-11 19:36:51
   • 内なるプログラマーを解き放つ: まったくの初心者のための C
     2024-10-11 15:50:41
   • C で生活を自動化する: 初心者向けのスクリプトとツール
     2024-10-11 15:07:41
   • PHP を簡単に: Web 開発の最初のステップ
     2024-10-11 14:21:21
   • Python で何でも構築: 創造性を解き放つための初心者ガイド
     2024-10-11 12:59:11
   • コーディングの鍵: 初心者のための Python の力を解き放つ
     2024-10-11 12:17:31
   最新の問題

   function_exists() はカスタム関数を決定できません Function test () {return true;} if (function_exists ('test')) {echo "テストは関数です";

   から 2024-04-29 11:01:01

   0

   3

   2239

   Google Chromeのモバイル版を表示する方法 こんにちは、先生、Google Chrome をモバイル版に変更するにはどうすればよいですか?

   から 2024-04-23 00:22:19

   0

   11

   2380

   子ウィンドウは親ウィンドウを操作しますが、出力は応答しません。 最初の 2 つの文は実行可能ですが、最後の文は実装できません。

   から 2024-04-19 15:37:47

   0

   1

   1989

   親ウィンドウには出力がありません document.onclick = function(){ window.opener.document.write('私は子ウィンドウの出力です');

   から 2024-04-18 23:52:34

   0

   1

   1877

   CSS マインド マッピングに関するコースウェアはどこにありますか? コースウェア

   から 2024-04-16 10:10:18

   0

   0

   1947
   関連トピック

   詳細>

   • WIN10アップデート失敗の解決策
   • Yio取引ソフトウェアのダウンロード
   • 接続リセットソリューション
   • C言語変数の命名
   • createmutex関数の使用法
   • ドライバージーニアスとは何ですか
   • ロック解除ツールの使用方法
   • インデックス.html関数