網頁表單安全

我使用md5哈希關鍵字在標題中設置了一個cookie。然後在我的代碼中，它會在顯示錶單之前檢查完全匹配的cookie。這幾乎毫無意義？表單提交到外部網站，所以我試圖在不使用驗證碼的情況下確保表單的安全。網頁表單安全

這就像把門鎖上，給每個人一把鑰匙。 – webbiedave 2010-05-18 15:59:30

Cookie不會被髮送到外部網站 – 2010-05-18 16:02:54

該死的，數字..好吧，如果我在我自己的服務器上用captcha處理表單並將結果發送到其他網站，該怎麼辦？不確定如何做到這一點，但這應該至少是我認爲的工作？ – 2010-05-18 16:02:56

如果您在打印表單的同時發送cookie，它將始終返回true，除非它們已啓用Cookie關閉。

什麼cookie檢查用於跨站點請求防僞。換句話說，停止從提交表單的人從外部網站:)

所以，你必須有描述了，什麼都不做

2010-05-18 15:56:15

-1 Cookie無法爲CSRF辯護。 csrf的全部要點在會話中，cookie值將包含在僞造的GET或POST查詢中。 – rook 2010-05-18 16:16:44

@ the rook，對不起，我沒有正確解釋我自己當你做一個CSRF檢查時，你把一個md5hash放在一個cookie和一個隱藏的字段中，然後檢查它們是否匹配。您在處理髮布信息時執行檢查。 – 2010-05-19 02:21:39

我刪除了-1會阻止它。雖然md5是製作隨機數的一種效率低下的方法，但它仍然歸結於你正在使用md5（）的方法，如果它的攻擊者已知的值是無關緊要的。將令牌存儲在會話變量而不是cookie中也會更好。 – rook 2010-05-19 07:31:13

CSRF只是一個問題，如果該請求是攻擊者的價值。例如，如果攻擊者可以讓登錄管理員使用CSRF更改密碼，那麼您有嚴重問題。沒有人關心歌詞，或搜索請求或頁面導航。沒有人會利用這一點，所以請求來自哪裏並不重要。

2010-05-18 16:18:33 rook

我不會那麼說。如果某人可以在歌詞頁面上注入一些Javascript，那麼在Google中排名可以接受，他可以對此做很大的傷害。破解銀行網站不是黑帽子的唯一目標。 – Boldewyn 2010-05-18 16:23:31

@Boldewyn是XSS而不是CSRF。 – rook 2010-05-18 16:27:32

回答