贡献者17
粉丝0
Cookies are strings of data that are stored directly in the browser. They are a part of HTTP protocol, defined by RFC 6265 specification. Cookies are often set by server using the response Set-Cookie
昵称 肥仔John
CSRF（Cross-Site Request Forgery），即跨站點請求偽造。發起跨站點請求偽造攻擊的關鍵點在於讓目標服務器無法分辨眾多請求的來源是真實用户還是攻擊者。攻擊的一般流程為：首先攻擊者會誘導用户導航至攻擊者提供的網頁上。該網頁包含一個自動發送到目標服務器的請求。然後該網頁正常加載，這個請求就會自動發送至服務器。在服務器看來，這個請求和用户正常發送的請求一模一樣，殊不知這是由攻擊者
昵称 API7_技術團隊
完整閲讀本文大約需要5分鐘。 開始閲讀之前，先上一道面試題： CSRF攻擊和XSS攻擊之間，有什麼聯繫？ 什麼是CSRF攻擊 CSRF攻擊即Cross-site request forgery，跨站請求偽造，直白來説就是惡意網站偽裝成用户，向被害網站發起操作請求。 為了方便理解，做了一張圖，攻擊流程如下： 用户登錄受害網站，瀏覽器把獲取的身份憑證保存在本地cookie中； 用户被誘導打開黑
昵称 前端私教年年
原文由發表於TesterHome社區，點擊原文鏈接可與作者直接交流。 ▌CSRF 攻擊 CSRF 跨站點請求偽造 (Cross—Site Request Forgery)：大概可以理解為攻擊者盜用了你的身份，以你的名義在惡意網站發送惡意請求，對服務器來説這個請求是完全合法的，但是卻完成了攻擊者所期望的一個操作，比如以你的名義發送郵件、發消息，盜取你的賬號，甚至於購買商品、轉賬等。 例如：Web A
昵称 TesterHome
文章不易，請關注公眾號 毛毛蟲的小小蠟筆，多多支持，謝謝。 CSRF簡介 Cross-site request forgery，跨站請求偽造，通常縮寫為CSRF或者XSRF。 CSRF之get請求攻擊 發起get請求攻擊比較簡單，只需要通過img標籤就可實現。 因為受瀏覽器同源策略限制，因此不能通過ajax來發起get請求。 Demo驗證 代碼： // 這段代碼是網站B的頁面，只是發起了網站A的請
昵称 simonbaker
作為一個web開發者，web安全是需要了解的，web攻擊是針對用户上網行為或網站服務器等設備進行攻擊的行為，如植入惡意代碼，修改網站權限，獲取網站用户隱私信息等等。從互聯網誕生起，網絡安全威脅就一直伴隨着網站的發展，各種web攻擊和信息泄露也從未停止。本文介紹常見web攻擊方式及預防措施。 XSS（跨站腳本攻擊） CSRF（跨站請求偽造） SQL注入 DDOS XSS 跨站腳本攻擊指攻
昵称 南城FE
關於RESTful標準服務是否需要方法跨站請求攻擊，網上有很多討論，總結下來核心的關鍵點在於是否使用了cookie，而就目前而言，REST標準下的服務接口，即便API做到了無狀態，用户令牌（Token）也很經常會放到localStorage或者cookie中，這些情況下本質上與RESTful的無狀態標準定義不衝突，但是必須要考慮XSS（跨站腳本攻擊）、CSRF（跨站請求攻擊）的防範需求了。 Coo
昵称 湘西刺客王鬍子
🎈 XSS 攻擊 全稱跨站腳本攻擊 Cross Site Scripting 為了與重疊樣式表 CSS 進行區分，所以換了另一個縮寫名稱 XSS XSS攻擊者通過篡改網頁，注入惡意的 HTML 腳本，一般是 javascript，在用户瀏覽網頁時，控制用户瀏覽器進行惡意操作的一種攻擊方式 XSS 攻擊經常使用在論壇，博客等應用中。攻擊者可以偷取用户Cookie、密碼等重要數據，進而偽造
昵称 江户川亮仔
1.1. 定義 跨站請求偽造（英語：Cross-site request forgery），也被稱為 one-click attack 或者 session riding，通常縮寫為 CSRF 或者 XSRF， 是一種挾制用户在當前已登錄的Web應用程序上執行非本意的操作的攻擊方法。跟跨站腳本（XSS）相比，XSS 利用的是用户對指定網站的信任，CSRF 利用的是網站對用户網頁瀏覽器的信任。 跨站
昵称 初始安全
一、前言 2月份的1.2億條用户地址信息泄露再次給各大公司敲響了警鐘，數據安全的重要性愈加凸顯，這也更加堅定了我們推行安全測試常態化的決心。隨着測試組安全測試常態化的推進，有更多的同事對邏輯漏洞產生了興趣，本系列文章旨在揭秘邏輯漏洞的範圍、原理及預防措施，逐步提升大家的安全意識。第二篇選取了廣為熟知的CSRF漏洞進行介紹。 二、CSRF漏洞介紹 1、CSRF漏洞的定義 跨站請求偽造（Cross-s
昵称 京東雲開發者
隨着社會經濟的快速發展和時代的變遷，不同年代出生的人羣在消費觀念、習慣和心理需求上存在顯著差異。同時，由於收入水平、社會地位等因素導致的消費層級分化，進一步使得消費心理變得複雜多樣。深入瞭解這些差異和變化，對於企業制定精準營銷策略、滿足市場需求具有重要意義。 不同消費層級客户消費心理差異（一）低消費層級客户價格敏感基本功能需求為主消費決策謹慎（二）中消費層級客户追求品質與性價比平
昵称 服飾商品運營管理
Q1：硬件改版為什麼容易超預算？ 硬件改版容易超預算通常是由於設計複雜性超出預期、頻繁變更需求、供應鏈成本波動、缺乏有效的成本監控機制等原因造成。 Q2：優化設計方案如何有效控制成本？ 通過優化設計方案，如採用標準化和模塊化設計，能夠減少物料和製造複雜性，從而顯著降低成本。 Q3：成本結構分析工具有哪些？
昵称 奔放的炒粉
H5 目前的技術已經趨於成熟。它開發週期短開發週期短，投入和維護成本低，兼容性好。根據需求，H5可以製作文字、圖形、音頻、視頻，因此可以用於PC網站、手機網站、微站、Web App、輕應用。而且由於最近AIGC的大火，它的製作成本變得更低。 H5的應用場景主要包括展示、營銷、調查、遊戲等等。 不過作為重要的移動互聯網服務載體，H5在給用户帶來便利體驗的同時，也讓企業面臨信息泄露、惡意劫持、薅羊毛等
昵称 小飛象
大家好，我是沐華。最近面了一些前端，發現每次問到安全相關的問題，一些面試者只能説上來 XSS、CSRF、中間人攻擊，就沒了，於是寫了這篇文章，總結了前端安全相關的點，給大家查缺補漏 瀏覽器 XSS XSS 攻擊是一種代碼注入攻擊，通過惡意注入腳本在瀏覽器運行，然後盜取用户信息。本質上其實是因為網站沒有過濾惡意代碼，與正常代碼混在一起之後，瀏覽器沒有辦法分辨哪些是可信的，然後導致惡意代碼也被執行 結
昵称 沐華
XSS防禦 1、頁面端防禦 頁面端的XSS防禦的方法，主要是針對輸入和輸出。 一般是在輸入的時候進行校驗，輸出的時候進行轉義。 輸入端的校驗： 所有能輸入的數據，都要列為不可信的數據。在邏輯處理或者存儲之前，都要進行校驗。 校驗的規則儘可能採用白名單而不是黑名單，比如只允許哪些字符，其他字符則一律不通過。 輸出端的轉義： 主要是對準備輸出到html的字符進行轉義。特別是用了v-html的地方。 這
昵称 simonbaker
儘管許多網站實施了輸入過濾措施來防止跨站腳本（XSS）攻擊，但在特定條件下，經過精心編碼的腳本仍有可能實施XSS注入。本文旨在為專業的安全測試人員提供一個跨站腳本漏洞的檢測指南。 網絡安全入門，XSS攻擊 以下是一些具體的XSS繞過過濾的方法： 1. XSS定位器 在大多數存在漏洞的地方，插入以下代碼將彈出含有“XSS”字樣的對話框。建議使用URL編碼器對整個代碼進行編碼。 小貼士：如果想
昵称 路過的山羊
CSRF-Cross-Site Request Forgery，跨站請求偽造 典型場景 用户登錄了A網站，A網站通過寫入cookie識別用户身份信息，在未退出A網站的情況下，用户打開了不受信任的B網站，B網站通過瀏覽器向A網站發送了執行敏感操作的請求，並且帶上了cookie，A網站服務端看到cookie信任了該請求，從而導致用户在不知情的情況下執行了敏感操作。 解法 在向A網站發起請求時（如表
昵称 whoami
登錄認證是 Web 開發的基石。理解它的原理、特點及各種實現方式，是每個開發者都繞不過去的一關。 在過去的兩年學習中，我陸續接觸過多種登錄機制：session-cookie、X-Auth-Token、SSO、OAuth 2.0、JWT 等等。但坦率地説，真正深入理解它們的設計初衷與區別，我也僅僅停留在“能用”的層面。 最近在項目（Angular 18.2.0 + Spring Boot 3.
昵称 姜姜