背景：

1.csrf知識(shí)

CSRF(Cross-site request forgery跨站請求偽造，也被稱為“one click attack”或者session riding，通常縮寫為CSRF或者XSRF，是一種對網(wǎng)站的惡意利用。盡管聽起來像跨站腳本(XSS)，但它與XSS非常不同，并且攻擊方式幾乎相左。XSS利用站點(diǎn)內(nèi)的信任用戶，而CSRF則通過偽裝來自受信任用戶的請求來利用受信任的網(wǎng)站。與XSS攻擊相比，CSRF攻擊往往不大流行(因此對其進(jìn)行防范的資源也相當(dāng)稀少)和難以防范，所以被認(rèn)為比XSS更具危險(xiǎn)性。

常見的解決方法：

Cookies Hashing：每一個(gè)表單請求中都加入隨機(jī)的Cookie，由于網(wǎng)站中存在XSS漏洞而被偷竊的危險(xiǎn)。

HTTP refer：可以對服務(wù)器獲得的請求來路進(jìn)行欺騙以使得他們看起來合法，這種方法不能夠有效防止攻擊。

驗(yàn)證碼：用戶提交的每一個(gè)表單中使用一個(gè)隨機(jī)驗(yàn)證碼，讓用戶在文本框中填寫圖片上的隨機(jī)字符串，并且在提交表單后對其進(jìn)行檢測。

令牌Tocken：一次性令牌在完成他們的工作后將被銷毀，比較安全。

2. 在jsp 表單中產(chǎn)生一個(gè)加密隨機(jī)數(shù)，傳入到serlet中進(jìn)行驗(yàn)證。

解決方法如下：

1. 產(chǎn)生隨機(jī)數(shù)。

SecureRandom random=SecureRandom.getInstance("SHA1PRNG");

long seq=random.nextLong(); String random=""+seq; session.setAttribute("random_session",random);

%>

2. 使用隱藏域傳遞比較值。

>

3. servlet控制器獲取參數(shù)比較。

String random_form=request.getParameter("random_form");

String random_session=(String)request.getSession().getAttribute("random_session");

out.println("random_form:"+random_form);

out.println("random_session:"+random_session);

if(random_form!=null&&random_session!=null&&random_form.equalsIgnoreCase(random_session)){

//business

}

小結(jié)：

1. jsp中使用java代碼，使用形式，錯(cuò)誤使用過'${}'.

2. 隱藏區(qū)域使用簡化形式/>將會(huì)把/當(dāng)成字符串解析，而不是結(jié)束符。

3. 日志或者打印出random_form、random_session?的值，防止出現(xiàn)無法調(diào)試的情況。

4. jsp中規(guī)規(guī)矩矩的使用session.setAttribute()設(shè)值，servlet中使用request.getSession().getAttribute()取值最保險(xiǎn)。

5. 隱藏區(qū)一定要位于提交按鈕前面，否則將讀取不到隱藏區(qū)的值。

6. 見我的前兩篇文章。

http://www.cnblogs.com/davidwang456/p/3579339.html 使用filter來做

http://www.cnblogs.com/davidwang456/p/3579444.html ?使用tag或者spring security包含的東西來做。

總結(jié)

以上是生活随笔為你收集整理的csrf攻击 java_java使用jsp servlet来防止csrf 攻击的实现方法的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。