在asp.net中,我正在实现一个IHttpModule来缓解CSRF攻击.它在响应html中使用GET上的asp.net SessionID注入一个隐藏的表单参数.在POST上,它然后检查以确保隐藏参数的值与当前的SessionID匹配.据我所知,获取SessionID值的唯一方法是来自cookie,恶意站点无法读取或确定.有什么我可以忽略的吗?
解决方法
这种方法是正确的.您需要确保通过GET操作可用的所有操作都是“安全的”(这是最佳实践),因为您只将XSRF保护应用于POST.
对于额外的保险,您也可以在GET上使用它(通过向所有链接添加URL参数,并在每个GET请求中检查它),但这很麻烦.
如果你是特别偏执,你可以为备用ID选择一个不同的随机数.即使浏览器错误地使您的会话cookie可以访问另一个站点上的某些恶意Javascript,这也可以保护您.创建会话时,请选择另一个大随机数并将其存储在会话中.
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。