csrf 相关问题

在 Laravel 中为 CSRF 令牌设置 httpOnly 标志

我正在为客户在 Laravel 5.1 中构建一个应用程序。完成应用程序后，我收到了一份渗透测试报告，它告诉我添加一个 HttpOnly 标志。 我添加了 'secure' => true 和 'http_...

CSRF 不会被 .csrf().disable() 禁用

我目前正在使用 Springboot 1.5.8 和 Spring Security，并且正在测试基本身份验证。 我编写了一个简单的函数，允许所有经过身份验证的请求使用测试函数： @

禁用 Vaadin CSRF

我正在使用 Vaadin 24.2 + Springboot 3.1.5 和 Spring Security 所以，根据这个：Vaadin Docs 客户端和服务器之间的所有请求都包含在用户会话特定的 CSRF 令牌中......

CSRF客户端双重提交令牌生成

我正在研究保护网站免受 CSRF 攻击。尽管敏感cookie已经被标记为same-site=lax，但我仍然想实现CSRF令牌。更具体地说是双

为什么期望：100 继续将标头拆分为 2

我是一名安全研究员，在研究一个项目时，我发现当我在请求响应中插入 Expect: 100-continue 标头时，会出现这样的情况： HTTP/1.1 100 继续

csrf漏洞测试

我在 IIS 上使用机器 A 上的 localhost 托管了一个小型 MVC 应用程序。我的主页中有以下 html。这里的域名是机器B的IP地址，用于测试目的。 我在机器 A 上使用 localhost 在 IIS 上托管了一个小型 MVC 应用程序。我的主页中有以下 html。这里的域名是B机的IP地址，用于测试目的。 <div class="row"> <div class="col-md-4"> <h2 class="jumbotron">You have won a prize!</h2> <p> To redeem your prize. Click this button. </p> <form action="http://target_IP_address/eline/webController/Populate" method="POST"> <input type="hidden" name="dateF" value="3/16/2022 3:01:26 PM" /> <input type="hidden" name="dateT" value="3/17/2022 3:01:26 PM" /> <input type="submit" class="btn btn-primary btn-lg" value="Give me my prize" /> </form> </div> </div> 现在，在机器 B 中，我登录到了存在漏洞的网站。然后，我单击一个链接，转到计算机 A 上托管的网站。当我到达该网站时，我单击 "submit" 按钮。这就是我的困惑开始的地方。机器 B 中没有发出此请求的记录。我确实在机器 A 中看到了该请求。这是我看到的。 我的印象是我会在机器 B 上看到该请求。因为我在机器 A 上看到了它，所以我确信我搞砸了。如果 response 缺少另一个自定义标头（csrf-token：一些唯一令牌），我实现的用于检查 csrf 攻击的修复应该将自定义标头（csrf-Detected：1）附加到 request。由于此标头没有显示在“响应标头”部分中，因此我认为检查没有发生在 Populate 中的 webController 方法之前。谁能指出我做错了什么？ 从 Microsoft 网站查看此页面。 为了帮助防止 CSRF 攻击，ASP.NET MVC 使用防伪造令牌， 也称为请求验证令牌。 客户端请求包含表单的 HTML 页面。 服务器在响应中包含两个令牌。一个令牌作为 cookie 发送。另一个放置在隐藏的表单字段中。代币 是随机生成的，因此对手无法猜测这些值。 当客户端提交表单时，它必须将两个令牌发送回服务器。客户端将 cookie 令牌作为 cookie 发送，并且它 发送表单数据内的表单令牌。 （浏览器客户端 当用户提交表单时自动执行此操作。） 如果请求不包含两个令牌，服务器将不允许该请求。 要将防伪令牌添加到 Razor 页面，请使用 HtmlHelper.AntiForgeryToken 辅助方法： @using (Html.BeginForm("Manage", "Account")) { @Html.AntiForgeryToken() } 此方法添加隐藏表单字段并设置 cookie 令牌。

[电子邮件受保护]中自动生成 X-XSRF-TOKEN 标头

根据 XSRF-TOKEN cookie 的值填充 X-XSRF-TOKEN 标头，然后将请求发送到受信任的主机，我感到很沮丧。 这个问题是随着 axios libr 的重大变化而来的......

Rails 6 CSRF 令牌过期问题

我们在生产环境中遇到表单提交问题。 该标准似乎异常罕见，我无法复制该问题。 CSRF 令牌已创建并验证...

JWT（XSS）与 Cookie（CSRF）？

我是一家初创公司的 Python 后端开发人员。最近，我被要求构建 API 的身份验证系统，我使用 FastAPI 框架实现了基于令牌的身份验证机制（JWT）...

如何在SpringBoot 2.7中配置CSRF Token

我们正在使用 SpringBoot 2.7 构建一个简单的应用程序，但遇到了 CSRF 令牌设置问题。用户操作（POST 请求）返回 403 禁止。它包含在 AWS ecs 集群中...

跨站点请求伪造预防：使用 cookie 作为同步器令牌模式

用于 CSRF 预防的同步器令牌模式的 OWASP 描述（此处）指出： 对于同步令牌模式，不应使用 cookie 传输 CSRF 令牌。 我的理解...

前端如何获取后端生成的CSRF token？

我正在开发一个Web应用程序的后端API（使用Spring Boot）。 API 使用 JWT 令牌对用户进行身份验证。我有一个用于注册帐户的端点（POST /注册）。 因为它是一个

由于跨源错误，无法在 Django CMS 中编辑任何内容

大约三个月前，我将旧的 Django 和 CMS 应用程序升级到（当时）最新的 LTS 版本（Django 4.2.3，django-cms 3.11.3）。升级后，当我

CSRF 403 禁止 - 无效的 CSRF 令牌

我遇到 Node Express 和 CSurf 问题 - 403（禁止）无效的 csrf 令牌。查看其他答案并尝试通过搜索找到的所有内容，我只是无法得到 p...

如何使用 ITP 跟踪 Safari IFrame 中 OpenID Connect 的状态？

LTI 1.3 等最新规范使用（IdP 发起的）OpenID Connect 来验证工具。在 LTI 中，这些工具通常在不同域的 iframe 中运行。理论是整个

如何解决 KeyError: 'A Secret key is required to use CSRF.' 错误在 Flask 应用程序中使用 wtform 时？

我一直在尝试使用 Flask 和 wtforms 以及 firebase 数据库构建一个 Web 应用程序，但我不断收到错误消息“KeyError: '需要使用 CSRF 的密钥。'”，我不知道如何到

csrf_exempt 所有回调均为 true

我为 django Rest api 创建了一些自定义中间件，以强制设置自定义标头的 CSRF 安全策略。我对 CsrfViewMiddleware 进行了子类化并重写了一些方法来满足我的需求...

Spring security CSRF 保护和基于 JWT 的授权

我一直在试图找出如果我的（spring boot 3.1.x）应用程序中有一个oauth2授权流程，如果没有CSRF保护，它会多么容易受到攻击。据我看来，这种授权方式...

防止 CSRF，无需所有形式的隐藏输入

我想知道是否可以将crsf令牌放在元标记或其他东西上，然后在我的服务器上访问它。这确实会简化流程并使其更加透明。我只是不...

是否真的可以使用自定义 HTTP 标头来防止 CSRF，因为浏览器会阻止网站将自定义 HTTP 标头发送到另一个网站？

今天在研究CSRF，发现了下面这句话： 自定义 HTTP 标头可用于防止 CSRF，因为浏览器 阻止网站将自定义 HTTP 标头发送到另一个网站，但