被稱爲CSRF攻擊的記錄重複問題

Question

我們正面臨一些被稱爲CSRF攻擊的記錄重複問題。

情景是，管理員用戶登錄到應用程序並添加記錄，數據被保存在數據庫中。相應的POST請求被捕獲並重放，最終將重複記錄添加到數據庫中。此漏洞允許攻擊者在重放時向數據庫中添加'n'個重複記錄。

這可以稱爲CSRF攻擊？

Answer 1

不，不是。

如果被捕捉的POST，你正在尋找一個重放攻擊，其中一個合法的請求再次重播。

您可以通過在表單中​​添加一個隨機數（隨機值）來打敗重放攻擊，並且在POST完成時要求隨機值存在，然後使隨機數無效。這與用於消除CSRF攻擊的技術是相同的。

但是，如果攻擊者可以讀取您的POST數據，您可能會遇到更大的問題。例如，他們將能夠捕獲管理員身份驗證步驟，該步驟可以顯示密碼或其他敏感信息。

---

也有可能您沒有受到攻擊，並且重複是由於使用「後退」按鈕或頁面重新加載引起的。無論如何，使用某種防禦來防止重複交易是最安全的。