温馨提示×

温馨提示×

您好,登录后才能下订单哦!

密码登录×
登录注册×
其他方式登录
点击 登录注册 即表示同意《亿速云用户服务条款》

jquery的安全漏洞有哪些

发布时间:2022-03-05 10:28:08 来源:亿速云 阅读:581 作者:iii 栏目:web开发

这篇“jquery的安全漏洞有哪些”文章的知识点大部分人都不太理解,所以小编给大家总结了以下内容,内容详细,步骤清晰,具有一定的借鉴价值,希望大家阅读完这篇文章能有所收获,下面我们一起来看看这篇“jquery的安全漏洞有哪些”文章吧。

  1.检查ORIGIN标头

  根据OWASP的指定,这还不够,但建议:

  尽管从您自己的浏览器中欺骗任何标头很简单,但除非通过XSS漏洞,否则在CSRF攻击中通常是不可能的。这就是为什么检查标头是CSRF防御中合理的第一步,但是由于它们并不总是存在,因此通常不能单独考虑将其视为足够的防御。

  Origin标头被认为有助于防止JSON数据盗用和CSRF攻击。Origin提供的信息(一些上下文请求创建信息)应向Web服务器提供有关请求可信度的提示[…]

  检查HTTP_ORIGIN标题可以写成:

  header('Content-Type: application/json');

  if (isset($_SERVER['HTTP_ORIGIN'])) {

  $address='http://' . $_SERVER['SERVER_NAME'];

  if (strpos($address, $_SERVER['HTTP_ORIGIN']) !==0) {

  exit(json_encode([

  'error'=> 'Invalid Origin header: ' . $_SERVER['HTTP_ORIGIN']

  ]));

  }

  } else {

  exit(json_encode(['error'=> 'No Origin header']));

  }

  1.(之二)检查REFERER标头

  如果没有Origin头

  ,请确认Referer头中的主机名与站点的来源匹配。检查引荐是防止嵌入式网络设备上CSRF的一种常用方法,因为它不需要每个用户状态。。这种CSRF缓解方法也常用于未经身份验证的请求[…]

  使用来检查,HTTP_REFERER在PHP中也非常简单$_SERVER['HTTP_REFERER'],您可以使用来更新上面的代码。

  请务必 始终进行真正的检查:不要只检查 example.com 或 _api.example.com,而不要检查完整的

  _api.example.com.hacker.com之 类的来源来欺骗此检查。

  2.生成CSRF令牌

  简而言之,已经给出了一个专门针对PHP的解释清楚的答案:

  生成令牌:

  session_start();

  if (empty($_SESSION['csrf_token'])) {

  $_SESSION['csrf_token']=bin2hex(random_bytes(32));

  }

  通过meta(例如Github)将其添加到生成的视图中:

  设置jQuery ajax调用以包含此令牌:

  $.ajaxSetup({

  headers : {

  'CsrfToken': $('meta[name="csrf-token"]')。attr('content')

  }

  });

  服务器端检查您的AJAX请求:

  session_start();

  if (empty($_SESSION['csrf_token'])) {

  $_SESSION['csrf_token']=bin2hex(random_bytes(32));

  }

  header('Content-Type: application/json');

  $headers=apache_request_headers();

  if (isset($headers['CsrfToken'])) {

  if ($headers['CsrfToken'] !==$_SESSION['csrf_token']) {

  exit(json_encode(['error'=> 'Wrong CSRF token.']));

  }

  } else {

  exit(json_encode(['error'=> 'No CSRF token.']));

  }

  大多数PHP框架都有自己的CSRF实现,或多或少都基于相同的原理。

以上就是关于“jquery的安全漏洞有哪些”这篇文章的内容,相信大家都有了一定的了解,希望小编分享的内容对大家有帮助,若想了解更多相关的知识内容,请关注亿速云行业资讯频道。

向AI问一下细节

免责声明:本站发布的内容(图片、视频和文字)以原创、转载和分享为主,文章观点不代表本网站立场,如果涉及侵权请联系站长邮箱:is@yisu.com进行举报,并提供相关证据,一经查实,将立刻删除涉嫌侵权内容。

AI