JSON CSRF/Theft攻击仍然可能吗？

Question

我尝试使用这种技术,但它似乎失败了(至少)我尝试过的大多数浏览器.基本上你在你的网站上返回JSON而其他人做了一个<script src="domain.com/response.php?json"></script>,然后你设置自己的对象/数组构造函数来窃取数据.

现代浏览器仍然可行吗？我应该使用令牌来防止这种情况吗？

Answer 1

这对于现代浏览器仍然可行吗？

是的。浏览器不是问题。

非浏览器应用程序也可以发出 HTTP 请求。像这样的应用程序curl可能可以用于此类事情。或者你可以用 Python 编写一些东西urllib2来执行 CSRF。如果框架没有正确包含 CSRF 令牌，您可以轻松伪造各种响应。

我应该使用令牌来防止这种情况吗？

不。

您应该找到一个框架来为您提供处理此问题的支持。

您将如何使用“curl”或 Python 程序进行 CSRF 攻击？您从哪里获取会话 cookie？ (6认同)
我对 CSRF 的理解是，它实际上依赖于攻击者利用浏览器中的活动会话 cookie。攻击站点利用这样一个事实：如果打开了登录窗口，则从“任何”窗口到某个安全站点的 HTTP 请求都将“使用”活动会话 cookie。否则，这只是对开放 URL 的普通攻击。换句话说，无需活动会话 cookie 即可工作的 URL 只需简单明了地进行保护，并且不存在“跨站点”方面的问题。 (4认同)
它不必是维护活动会话 cookie 的**浏览器**；任何这样做的“比如”浏览器都同样容易受到攻击。但是，如果没有受害者的活动会话 cookie，您不能直接走到命令行并使用“curl”对受害者发起 CSRF 攻击。 (4认同)
@Pointy：http://www.cgisecurity.com/csrf-faq.html。“攻击者可以将脚本嵌入到 Word 文档、Flash 文件、电影、RSS 或 Atom 网络源或其他允许脚本的文档格式中” (2认同)