-
【转】浅谈CSRF攻击
vprince 发布于 2012-05-10 16:44:26
一.CSRF是什么？
CSRF（Cross-site request forgery），中文名称：跨站请求伪造，也被称为：one click attack/session riding，缩写为：CSRF/XSRF。
二.CSRF可以做什么？
你这可以这么理解CSRF攻击：攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账......造成的问题包括：个人隐私泄露以及财产安全。
三.CSRF漏洞现状
CSRF这种攻击方式在2000年已经被国外的安全人员提出，但在国内，直到06年才开始被关注，08年，国内外的多个大型社区和交互网站分别爆出CSRF漏洞，如：NYTimes.com（纽约时报）、Metafilter（一个大型的BLOG网站），YouTube和百度HI......而现在，互联网上的许多站点仍对此毫无防备，以至于安全业界称CSRF为“沉睡的巨人”。
四.CSRF的原理
下图简单阐述了CSRF攻击的思想：
从上图可以看出，要完成一次CSRF攻击，受害者必须依次完成两个步骤：
1.登录受信任网站A，并在本地生成Cookie。
2.在不登出A的情况下，访问危险网站B。
看到这里，你也许会说：“如果我不满足以上两个条件中的一个，我就不会受到CSRF的攻击”。是的，确实如此，但你不能保证以下情况不会发生：
1.你不能保证你登录了一个网站后，不再打开一个tab页面并访问另外的网站。
2.你不能保证你关闭浏览器了后，你本地的Cookie立刻过期，你上次的会话已经结束。（事实上，关闭浏览器不能结束一个会话，但大多数人都会错误的认为关闭浏览器就等于退出登录/结束会话了......）
3.上图中所谓的攻击网站，可能是一个存在其他漏洞的可信任的经常被人访问的网站。
上面大概地讲了一下CSRF攻击的思想，下面我将用几个例子详细说说具体的CSRF攻击，这里我以一个银行转账的操作作为例子（仅仅是例子，真实的银行网站没这么傻:>）
示例1：
银行网站A，它以GET请求来完成银行转账的操作，如：http://www.mybank.com/Transfer.php?toBankId=11&money=1000
危险网站B，它里面有一段HTML的代码如下：
<img src=http://www.mybank.com/Transfer.php?toBankId=11&money=1000>首先，你登录了银行网站A，然后访问危险网站B，噢，这时你会发现你的银行账户少了1000块......
为什么会这样呢？原因是银行网站A违反了HTTP规范，使用GET请求更新资源。在访问危险网站B的之前，你已经登录了银行网站A，而B中的<img>以GET的方式请求第三方资源（这里的第三方就是指银行网站了，原本这是一个合法的请求，但这里被不法分子利用了），所以你的浏览器会带上你的银行网站A的Cookie发出Get请求，去获取资源“http://www.mybank.com /Transfer.php?toBankId=11&money=1000”，结果银行网站服务器收到请求后，认为这是一个更新资源操作（转账操作），所以就立刻进行转账操作......
示例2：
为了杜绝上面的问题，银行决定改用POST请求完成转账操作。
银行网站A的WEB表单如下：
<form action="Transfer.php" method="POST">
<p>ToBankId: <input type="text" name="toBankId" /></p>
<p>Money: <input type="text" name="money" /></p>
<p><input type="submit" value="Transfer" /></p>
</form>后台处理页面Transfer.php如下：
<?php
session_start();
if (isset($_REQUEST['toBankId'] && isset($_REQUEST['money']))
{
buy_stocks($_REQUEST['toBankId'], $_REQUEST['money']);
}
?>
危险网站B，仍然只是包含那句HTML代码：
<img src=http://www.mybank.com/Transfer.php?toBankId=11&money=1000>和示例1中的操作一样，你首先登录了银行网站A，然后访问危险网站B，结果.....和示例1一样，你再次没了1000块～T_T，这次事故的原因是：银行后台使用了$_REQUEST去获取请求的数据，而$_REQUEST既可以获取GET请求的数据，也可以获取POST请求的数据，这就造成了在后台处理程序无法区分这到底是GET请求的数据还是POST请求的数据。在PHP中，可以使用$_GET和$_POST分别获取GET请求和POST 请求的数据。在JAVA中，用于获取请求数据request一样存在不能区分GET请求数据和POST数据的问题。
示例3：
经过前面2个惨痛的教训，银行决定把获取请求数据的方法也改了，改用$_POST，只获取POST请求的数据，后台处理页面Transfer.php代码如下：
<?php
session_start();
if (isset($_POST['toBankId'] && isset($_POST['money']))
{
buy_stocks($_POST['toBankId'], $_POST['money']);
}
?>
然而，危险网站B与时俱进，它改了一下代码：
<html>
<head>
<script type="text/javascript">
function steal()
{
iframe = document.frames["steal"];
iframe.document.Submit("transfer");
}
</script>
</head>
<body onload="steal()">
<iframe name="steal" display="none">
<form method="POST" name="transfer" action="http://www.myBank.com/Transfer.php">
<input type="hidden" name="toBankId" value="11">
<input type="hidden" name="money" value="1000">
</form>
</iframe>
</body>
</html>
如果用户仍是继续上面的操作，很不幸，结果将会是再次不见1000块......因为这里危险网站B暗地里发送了POST请求到银行!
总结一下上面3个例子，CSRF主要的攻击模式基本上是以上的3种，其中以第1,2种最为严重，因为触发条件很简单，一个<img>就可以了，而第3种比较麻烦，需要使用JavaScript，所以使用的机会会比前面的少很多，但无论是哪种情况，只要触发了 CSRF攻击，后果都有可能很严重。
理解上面的3种攻击模式，其实可以看出，CSRF攻击是源于WEB的隐式身份验证机制！WEB的身份验证机制虽然可以保证一个请求是来自于某个用户的浏览器，但却无法保证该请求是用户批准发送的！
五.CSRF的防御
我总结了一下看到的资料，CSRF的防御可以从服务端和客户端两方面着手，防御效果是从服务端着手效果比较好，现在一般的CSRF防御也都在服务端进行。
1.服务端进行CSRF防御
服务端的CSRF方式方法很多样，但总的思想都是一致的，就是在客户端页面增加伪随机数。
(1).Cookie Hashing(所有表单都包含同一个伪随机值)：
这可能是最简单的解决方案了，因为攻击者不能获得第三方的Cookie(理论上)，所以表单中的数据也就构造失败了:>
<?php
//构造加密的Cookie信息
$value = “DefenseSCRF”;
setcookie(”cookie”, $value, time()+3600);
?>在表单里增加Hash值，以认证这确实是用户发送的请求。
<?php
$hash = md5($_COOKIE['cookie']);
?>
<form method=”POST” action=”transfer.php”>
<input type=”text” name=”toBankId”>
<input type=”text” name=”money”>
<input type=”hidden” name=”hash” value=”<?=$hash;?>”>
<input type=”submit” name=”submit” value=”Submit”>
</form>然后在服务器端进行Hash值验证
<?php
if(isset($_POST['check'])) {
$hash = md5($_COOKIE['cookie']);
if($_POST['check'] == $hash) {
doJob();
} else {
//...
}
} else {
//...
}
?>这个方法个人觉得已经可以杜绝99%的CSRF攻击了，那还有1%呢....由于用户的Cookie很容易由于网站的XSS漏洞而被盗取，这就另外的1%。一般的攻击者看到有需要算Hash值，基本都会放弃了，某些除外，所以如果需要100%的杜绝，这个不是最好的方法。
(2).验证码这个方案的思路是：每次的用户提交都需要用户在表单中填写一个图片上的随机字符串，厄....这个方案可以完全解决CSRF，但个人觉得在易用性方面似乎不是太好，还有听闻是验证码图片的使用涉及了一个被称为MHTML的Bug，可能在某些版本的微软IE中受影响。
(3).One-Time Tokens(不同的表单包含一个不同的伪随机值)
在实现One-Time Tokens时，需要注意一点：就是“并行会话的兼容”。如果用户在一个站点上同时打开了两个不同的表单，CSRF保护措施不应该影响到他对任何表单的提交。考虑一下如果每次表单被装入时站点生成一个伪随机值来覆盖以前的伪随机值将会发生什么情况：用户只能成功地提交他最后打开的表单，因为所有其他的表单都含有非法的伪随机值。必须小心操作以确保CSRF保护措施不会影响选项卡式的浏览或者利用多个浏览器窗口浏览一个站点。
以下我的实现:
1).先是令牌生成函数(gen_token())：
<?php
function gen_token() {
//这里我是贪方便，实际上单使用Rand()得出的随机数作为令牌，也是不安全的。
//这个可以参考我写的Findbugs笔记中的《Random object created and used only once》
$token = md5(uniqid(rand(), true));
return $token;
}2).然后是Session令牌生成函数(gen_stoken())：
<?php
function gen_stoken() {
$pToken = "";
if($_SESSION[STOKEN_NAME] == $pToken){
//没有值，赋新值
$_SESSION[STOKEN_NAME] = gen_token();
}
else{
//继续使用旧的值
}
}
?>3).WEB表单生成隐藏输入域的函数：
<?php
function gen_input() {
gen_stoken();
echo “<input type=\”hidden\” name=\”" . FTOKEN_NAME . “\”
value=\”" . $_SESSION[STOKEN_NAME] . “\”> “;
}
?>
4).WEB表单结构：
<?php
session_start();
include(”functions.php”);
?>
<form method=”POST” action=”transfer.php”>
<input type=”text” name=”toBankId”>
<input type=”text” name=”money”>
<? gen_input(); ?>
<input type=”submit” name=”submit” value=”Submit”>
</FORM>5).服务端核对令牌：
这个很简单，这里就不再啰嗦了。
上面这个其实不完全符合“并行会话的兼容”的规则，大家可以在此基础上修改。
转自好友博客：http://www.cnblogs.com/hyddd/
-
一位软件测试工程师六年的工作经验总结[转]
welcome_zhang 发布于 2011-08-22 20:59:38
-
【转】软件需求评审之五个案例和九条建议
tarina 发布于 2011-07-28 16:10:53
-
教你如何做主管——MTP培训心得
congyu15 发布于 2011-03-02 15:29:22
前段时间，公司有组织中高阶主管及其培养干部进行了为期三天的管理训练培训。三天的课程下来，虽然内容较多，因对老师三天来的课程内容深有感触，故借着整理学习心得的机会，将三天来的培训课程做了一个结构化的整理，与大家来分享。
在上课的过程中，觉得老师讲的内容较多，涉及的面也比较多。刚开始在整理学习心得时，点点滴滴整理了大约十七八条。再反复经过对这整理的十七八条心得，发现其实老师主要就是围绕“如何做主管？”这个话题展开的。整体上可以将这四天培训的主要知识点用下面这个图来表示。
作为一个中阶主管，其基本工作如上图所示，主要是五大项：
1. 设定工作目标；
2. 工作规划与分配；
3. 人力资源发展；
4. 激励和人际沟通；
5. 授权给部属。
下面分别就这五项工作来对老师讲的内容以Q&A的方式做一个陈述。
一、设定工作目标
Q1：如何设定团队与部属目标？
A1：这里老师主要结合围绕企业运行的三个流程来讲的：策略流程、人员流程和营运流程。设定公司和部门的目标是策略流程的主要内容。公司依据其内、外部环境来设定公司的目标、策略。这一过程主要由高阶主管来完成。最终会形成诸如《公司年度事业计划》。
部门目标则是对公司目标和策略的有效分解，最终形成诸如各部门年度KPI。
部属或者说是个人的目标则是对本部门的KPI的有效分解。
这一系列的从公司目标和策略的制定到个人KPI的制定的过程就是前面讲到的策略流程。
同时老师也给我们介绍了一些关于目标设定的读物，它们是：
1）《蓝海策略》、《战略地图》、《方针管理》——用于指导公司目标和方针的制定；
2）《目标管理》、《关键绩效指标》、《平衡记分卡》——用于指导部门目标/KPI的制定。我们公司就是用平衡记分卡来指导KPI的制定。
3）《变革管理》——用于指导当公司目标和方针发生变化时，团队如何应对。
Q2：如何面对上级主管的临时插单？
A2：在计划之外，上级主管分派新任务总是中阶主管经常面对的事情。那么作为中阶主管需要如何来面对这种情况呢，老师给我们介绍了一些可行的方法：
1) 首先，作为主管需要将新课题放在最优先的位置，安排最重要的人，最重要的资源来处理，因为往往只有这些新课题才会创造公司价值；
2）其次， 要优化，改善原来计划内的工作，采取诸如删除、合并、简化、OA化、E化等方式来优化旧课题，以提高生产率。
3）另外，对于分派的新课题，作为中阶主管，需要采用有效的方法及时（在上司分配工作2～4小时内）与上司明确新课题的目的：本单位/现在的目的是什么、公司/未来的目的是什么、实现新课题的限制条件有哪些等。
Q3：如何向上级主管行销你的计划？
A3：向上级主管报告计划时，时间不能超过10分钟。为了能够让上级主管快速有效地了解自己的计划，需要在向上司报告前，对自己的计划进行摘要，突显出计划的重点内容。计划摘要的内容包含以下几个部分：
1）计划目的：当前目的、最终目的（跟公司的策略连接）
2）现状问题
3）创意（构想）——有哪些新的创意，或者是计划的整体思路
4）效果：有形成果、无形成果
5）费用
6）风险评估与应对
Q4：如何改善团队的工作绩效？
A4：通常我们都可以将团队的工作内容分解成三种类型的动作：
1）有价值的动作，它指对产品和顾客增值的动作，对于这类动作，我们需要的就是将其标准化，并写成工作分解表/指南/Checklist；
2）无价值的动作，它指诸如拿材料、检查等动作。对于这类动作，需要的就是尽量将其合理化；
3）浪费的动作。对于这类动作，需要的就是尽量将其消除。
进行这样的持续改善，就能够不断地提升团队的工作绩效。
Q5：如何解决工作中的问题？
A5：在工作中发生的问题，通常有80%～90%都是事实明确的，剩下的10%～20%是事实不明确的。
对于事实明确的问题，解决问题的方式是：
1）收集数据——三现主义（现场，现物，现实），并采取紧急措施；
2）寻找问题的真正原因：（3WHY 系统图法）
a）让所有人知道问题在哪里
b）弄清楚解决问题的目的
c）即使一个不良也要对策
3）采取对策消除真正的原因
对于事实不明确的问题，解决问题的方式是：
1）成立QCC（品管圈）或者QIT（品质改进小组）
2）利用SPC，QC工具，6σ等工具进行问题分析，找真正原因
3）形成统计报表，用来做预防管理。
Q6：目标设定的SMART原则
A6：SMART指的是Specific、Measurable、Achievable、Relevant、Timely。
Specific是指每项目标的指订，一定是特定的，而不是一个概略性的；
Measurable是指可衡量的，每项目标必须要用量化的指标来订定；
Achievable是指可达成的，所有的目标一定要是能达得到的；
Relevant是指有关的，也就是每项目标都必须与主管的目标相结合；
Timely是指时效性，也就是每项目标要在限定的时间内完成。
二、工作规划与分配
Q7：主管的时间如何管理？
A7：工作通常可以分为四种类型：定型性工作、规则性工作、特别性工作、创造性工作。
1）定型工作指个人专长的事情；
2）规则性工作指诸如开会、电话、巡视工作现场；
3）特别性工作指诸如跟上司讨论计划、协助上司解决问题；
4）创造性工作指辅导部属解决问题。
通常前二种工作的绩效比重常只占20%，对于这样的工作，主管需要思考：
a）是否可以授权？
b）是否可以代理给别人？
c）是否可以不要做？
对于后两种工作需要多思考如何增加其比重。
Q8：工作如何分配给下属？
A8：1）团队的建立是主管的职责不是部属的责任；
2）主管培养接班人一定会造成组织的不平衡，但主管要负责平衡；
3）主管在分配工作时，需要根据事情的成熟度，部属的成熟度和组织的成熟度之不同来分派工作。分配工作时需要告诉部属：
a）是什么事，谁交代的；
b）为什么让他做（个人重要性）
c）这件事的价值：对单位，对个人
Q9：主管如何面对命令系统的例外？
A9：一个组织通常都会从品质、成本、弹性、速度和服务等几个方面来提高客户满意度。其中品质和成本是基本因素，弹性、速度和服务是差异化因素。
在追求用差异化因素提高客户满意度的组织里，命令系统的例外是经常会遇到的。
主管在遇到这样的情形时，面对部属需要扮演支援的角色，支援部属时，需要：
1）问部属做什么事情，目的在哪里；
2）问部属是否需要支援；
3）问部属什么时候可以完成；
4）帮部属安排事情的轻重缓急；
5）责任主管承担。
对于上司，主管需要：
1）报告进度；
2）重新确认目的；
3）跟上级寻求支援；
4）对上司笑一笑。
任务完成后，向上司报告时，主管需要：
1）跟部属一起报告。由主管报告两头，部属报告专业性的内容。
2）部属报告完毕后，请部属先离开。
三、人力资源发展
Q10：主管如何培育部属？
A10：主管需要与部属一起，以个人KPI为目标，结合个人期待（生涯规划、部属目前具备的条件）和组织期待（担任工作必备条件），来制定部属指导计划表。
并按照部属指导计划表对部属进行培养，并且定期与部属就训练成果进行沟通，寻找差距以改进。
完成KPI是主管的职责，培养接班人/部属是主管的天职。
四、激励与人际沟通
Q11：如何使部属表现良好的绩效？
A11：要使部属表现出良好的绩效，需要做到以下几点：
1）让部属了解自己的职责；
2）让部属知道自己的工作目标；
3）让部属知道自己的工作对组织的贡献和价值；
4）使部属具备从事该项工作的知识技能；
5）对绩效好的部属要给以奖励；
6）对部属的工作，主管要给以支持，并及时加以回馈和鼓励；
7）主管要促进员工有意愿不断改善绩效。
Q12：如何与部属做绩效Review？
A12：在与部属做绩效Review时，主管重点需要思考三个问题：
1）这个部属做得如何？
2）他可以改进些什么？
3）我应该做些什么来改善部属的绩效？
在实施绩效Review时，主管需要：
学习资料的一些网站收藏
张晓南 发布于 2011-02-17 11:38:18
GOOGLE搜索中的小技巧(转)
Tracy109 发布于 2011-02-09 11:33:51
跳槽与积累---转载
star-drift0312 发布于 2010-08-06 09:58:14
收集(性能测试视频汇总和下载)
jrong 发布于 2010-09-25 22:15:18
标题搜索
我的存档
数据统计
- 访问量: 1831
- 日志数: 3
- 建立时间: 2008-06-25
- 更新时间: 2011-04-02
