html form without csrf protection（laravel5.7页面多个form，用jquery ajax方法提交，如何设置csrf才能提交）

本文目录

• laravel5.7页面多个form，用jquery ajax方法提交，如何设置csrf才能提交
• adminer执行提示“无效 CSRF 令牌重新发送表单”的问题
• 表单、AJAX 提交必须执行 CSRF 安全验证
• CSRF(跨站请求伪造)
• HTML中ajax表单提交CSRF保护
• 什么是 CSRF攻击

laravel5.7页面多个form，用jquery ajax方法提交，如何设置csrf才能提交

这是一个头像上传的例子//前台视图://在head里加上_tokenmeta name=;_token; content=;{{ csrf_token() }};/;《pre t="code" l="php"》$.ajax({ url:;head_portrait;, data:{src:src}, type:;GET;, headers:{;X-CSRF-TOKEN;:$(;meta); } if($ress){echo 1;}else{echo 0;} } }, error:function(){ id.text(;上传头像失败;); }, async:false })

adminer执行提示“无效 CSRF 令牌重新发送表单”的问题

向服务器提交文件session.php 访问页面如果一直输出1，则表示session有问题 提交文件phpinfo.php 找到session.save_path参数的目录 在服务器上给这个目录777权限

表单、AJAX 提交必须执行 CSRF 安全验证

***隐藏网址*** CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（ XSS ），但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与 XSS 攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比 XSS 更具危险性。 Thanks ~

CSRF(跨站请求伪造)

2021-11-24 跨站点请求伪造(Cross—Site Request Forgery)，伪装来自受信任用户的请求来利用受信任的网站。简单来说CSRF就是获取凭证伪造身份去做事。 详细点说：假如A网站中存在CSRF漏洞，攻击者构造一个利用的POC，发送给受害者(在浏览器中处于登陆状态)，让受害者点击POC，导致受害者在A网站上的的资料被修改或者钱财被转移。 所有用户进行操作的位置都可能存在CSRF，修改信息、密码、头像。 1.利用浏览器中缓存的cookie 2.没有一次型的token验证 1.修改受害者的一些资料、转账或者改密码 2.如果获取到应用程序中的管理员cookie，攻击者完全可以控制应用的所有数据和功能 1.资源包含 资源包含是在大多数介绍CSRF概念的演示或基础课程中可能看到的类型。这种类型归结为控制HTML标签（例如《image》、《audio》、《video》、《object》、《script》等）所包含的资源的攻击者。如果攻击者能够影响URL被加载的话，包含远程资源的任何标签都可以完成攻击。 2.基于表单 通常在正确使用安全的请求方式时看到。攻击者创建一个想要受害者提交的表单; 其包含一个JavaScript片段，强制受害者的浏览器提交。 3.XMLHttpRequest 基于XHR的CSRF通常由于SOP而以XSS有效载荷的形式出现。没有跨域资源共享策略 (Cross-Origin Resource Sharing, CORS)，XHR仅限于攻击者托管自己的有效载荷的原始请求。 通过CSRF-token或者验证码来检测用户提交 验证 Referer/Content-Type 对于用户修改删除等操作最好都使用POST操作 避免全站通用的Cookie，严格设置Cookie的域 ***隐藏网址*** 1.跨账户使用令牌 2.替换相同的长度 3.从请求中删除csrf token 4.解码CSRF token 5.通过HTML提取CSRF token 6.只使用token的静态部分 ***隐藏网址***

HTML中ajax表单提交CSRF保护

除了检查被作为 POST 参数传递的 CSRF token 之外, VerifyCsrfToken 中间件也会检查请求标头中的 X-CSRF-TOKEN 。例如，你可以将其保存在 meta 标签中： 一旦你创建了 meta 标签，你就可以使用 jQuery 之类的函数库将 token 自动地添加到所有的请求头中。这简单、方便的为你的应用的 AJAX 提供了 CSRF 保护：

什么是 CSRF攻击

，即在某个恶意站点的页面上，促使访问者请求你的网站的某个 URL（通常会用 POST 数据方式），从而达到改变服务器端数据的目的。这一类攻击依赖于你的网页中的表单，脆弱的表单很容易受到攻击。对于你网站中的访问者而言，可能会受到以下攻击：* 在你的网站之外记录受攻击者的日志（比如：Slashdot）；* 修改受攻击者在你的网站的设置（比如：Google）；* 修改你的硬件防火墙；* 使用受攻击者的登录信息在你的网站中发表评论或留言；* 将资金转移到另一个用户帐号中。CSRF 攻击的典型是那些使用 cookie 记录登录信息的网站，但对于一些允许某个 IP 地址访问的页面（如内部网），这一类攻击也会奏效。CSRF 攻击通常会使用到 JavaScript（但不仅限于 JavaScript）实现跨站点自动提交表单－－表单数据可以隐藏，提交按钮可以伪装成链接或滚动条。* 确定那些接受可改变服务器数据的 CGI 只接受 POST 参数，不接受 GET 参数，一些服务器端语言默认同时接受两种方式提交过来的参数；* 确定表单提交处理的是你自己的表单，可以使用一个隐藏字段中存放MD5字符串，此字符串是将登录 cookie 数据与服务器端存放的密钥进行 MD5 之后的结果，只有这个 MD5 字符串正确时才接受表单数据；* 另外还可以增加一个更为严格的方法：在表单中增加一个时间戳的隐藏字段，并将其包含到 hash 字符串中，如果时间戳超过某个时间，则认为表单已过期。当表单过期时，给出一个方法可以让用户重新提交表单，比如将用户之前填写的数据依旧放入表单中，但使用一个新的 hash 字符串。一个PHP的表单例子，表单代码：《?php$key = y8s4Z7m2; //MD5加密密钥$time = time(); //当前时间$hash = md5($time.$key); //hash 字符串?《form method="post" action="comment.php"《pYour name: 《input type="text" name="person_name" /《/p《pComment: /《textarea name="comment" rows="10" cols="60"《/textarea《/p《input type="hidden" name="time" value="《?php echo $time; ?" /《input type="hidden" name="hash" value="《?php echo $hash; ?" /《p《input type="submit" name="comment" value="Submit Comment" /《/p《/form表单提交之后的 comment.php 后台处理程序代码：《?php$key = y8s4Z7m2; //密钥，与上面的一致$expire = 1800; //表单过期时间：半小时$my_hash = md5($_POST $expire) {//表单已经过期，生成新的时间戳和 hash 字符串，显示表单让用户重新提交。（此处省略）//….}//表单验证通过，可以接受表单提交的数据，并进行其它操作。//….?