本篇內(nèi)容主要講解“CSRF和SSRF的區(qū)別是什么”，感興趣的朋友不妨來看看。本文介紹的方法操作簡單快捷，實用性強。下面就讓小編來帶大家學(xué)習(xí)“CSRF和SSRF的區(qū)別是什么”吧!
簡述CSRF、SSRF的區(qū)別
創(chuàng)新互聯(lián)-專業(yè)網(wǎng)站定制、快速模板網(wǎng)站建設(shè)、高性價比保德網(wǎng)站開發(fā)、企業(yè)建站全套包干低至880元,成熟完善的模板庫,直接使用。一站式保德網(wǎng)站制作公司更省心,省錢,快速模板網(wǎng)站建設(shè)找我們，業(yè)務(wù)覆蓋保德地區(qū)。費用合理售后完善，十載實體公司更值得信賴。
在下進入網(wǎng)絡(luò)安全行業(yè)不久，目前對Web漏洞可謂是一知半解似懂非懂。正巧公司下午進行考核，對在下來說頗有種趕鴨子上架的體驗。其中有這樣一道試題：“請簡述CSRF、SSRF與會話重放的區(qū)別
”
說實話，上述三種漏洞，我也接觸過不少了，但被這么一問，卻仿佛三九天墜入了冰窟一般，一下就懵了。
考試結(jié)束后，在下趕緊查閱了相關(guān)的資料，才發(fā)現(xiàn)其中的學(xué)問比我要想像的深奧許多。那就擼起袖子學(xué)學(xué)唄，學(xué)以致用，在下將所學(xué)融會貫通，完成了這篇文章。這里，會話重放暫且不提，在下總結(jié)了一下CSRF與SSRF的概念與區(qū)別。
CSRF:
CSRF，本名為Cross-site requestforgery，也就是跨站請求偽造。
說到CSRF，不得不提一下XSS。CSRF看起來好像和XSS跨站腳本攻擊有著“不得不說的秘密”，實則卻是兩個不同維度的情況。從名字上來看，同為跨站攻擊，XSS攻擊是跨站腳本攻擊，CSRF攻擊是請求偽造，也就是CSRF攻擊本不是出自用戶之手，卻經(jīng)過第三方惡意攻擊者的處理，偽裝成了受信任用戶的“親歷親為”。
我們所能見到的大部分網(wǎng)站，都是通過cookie等方式記錄、分辨出受信任用戶的身份，再予以授權(quán)的。所以要偽造用戶的正常操作，最好的方法是通過XSS或鏈接引導(dǎo)等途徑，讓用戶在本機發(fā)起自己所不知道的危險請求，使得惡意攻擊有機可乘，獲取用戶cookie等信息，以達到身份偽裝目的?？吹竭@里不知您是否有所明白，XSS是實現(xiàn)CSRF的諸多途徑中的一條，但并不是唯一的一條。
我們平日里做的web漏洞挖掘，一般都是在用戶修改密碼界面驗證CSRF漏洞，因為這是最能體現(xiàn)該漏洞危害的地方之一。就如前文所說，XSS可以在用戶不知情的情況下，引導(dǎo)用戶點擊惡意鏈接修改用戶密碼。
圖源：百度百科CSRF詞條
SSRF:
SSRF,也就是Server Side RequestForgery---端請求偽造。從字面上來看，與CSRF不同的是，它是服務(wù)器端發(fā)出的請求偽造而非從用戶一端提交。別誤會，作為受信任用戶，服務(wù)器當(dāng)然不可能做出損害用戶信息的事。它是一種由攻擊者構(gòu)造形成，由服務(wù)端發(fā)起請求的一個安全漏洞。因為它是由服務(wù)端發(fā)起的，所以它能夠請求到與它相連但與外網(wǎng)隔離的內(nèi)部系統(tǒng)。由于服務(wù)端提供了從其他服務(wù)器應(yīng)用獲取數(shù)據(jù)的功能（例如分享等功能）且沒有對目標(biāo)地址做過濾與限制，給予了攻擊者乘虛而入的機會。比如從指定URL地址獲取網(wǎng)頁文本內(nèi)容，加載指定地址的圖片，下載等等。SSRF是利用存在缺陷的web應(yīng)用作為代理攻擊遠程和本地的服務(wù)器。
我們來舉個例子說，如何查詢自己的外網(wǎng)IP？最簡單的可能就是百度搜索框中輸入“IP”進行查詢。 圖中111.113.*.83，這是我的原IP，如果我用其他服務(wù)器載入這個網(wǎng)頁的話，比如用某翻譯的瀏覽器插件翻譯當(dāng)前頁面： 可以看到我的IP變成了61.135.217.12，地址也換了，這就是SSRF漏洞。圖中的結(jié)果并不是翻譯插件直接翻譯網(wǎng)頁內(nèi)容，而是用該插件的服務(wù)器加載了此頁面。雖然服務(wù)器并不是惡意，但我們所收到的信息還是出現(xiàn)了偏差。
總的來說，CSRF是服務(wù)器端沒有對用戶提交的數(shù)據(jù)進行嚴格的把控，導(dǎo)致攻擊者可以利用用戶的Cookie信息偽造用戶請求發(fā)送至服務(wù)器。而SSRF是服務(wù)器對用戶提供的可控URL地址過于信任，沒有經(jīng)過嚴格檢測，導(dǎo)致攻擊者可以以此為跳板攻擊內(nèi)網(wǎng)或其他服務(wù)器。
重慶分公司
重慶分公司
