WWW-Authenticate Header CSRF問題

我從朋友那裏聽說，WWW-Authenticate頭可以在遠程服務器上的惡意php文件中明確定義，並使用圖像MIME類型，例如， image/jpeg或image/png。WWW-Authenticate Header CSRF問題

假設情況

說這個文件是malicious.com/image.php我這個圖像添加到我的論壇簽名上一些任意的論壇。具體來說，gaiaonline.com。當其他訪問者通過我的帖子訪問一個帖子時，他們將看到WWW-Authenticate標題給出的登錄提示。訪問者/受害者輸入用戶名/密碼後，黑客可以將其存儲在遠程服務器上，並通過電子郵件發送給自己等。

惡意代碼：<img src="malicious.com/image.php" />包含WWW-Authenticate標題。可以通過標準發佈/ BBcode輸入。

這怎麼解決？ 我認爲這個可以跨域訪問。

來源

2011-05-20 Gio Borje

我認爲這比CSRF更多的釣魚攻擊。 – ThiefMaster 2011-05-20 23:25:38

@ThiefMaster我認爲瀏覽器應該自己處理這個問題;否則，應該有一種方法來禁止基於域的標題。如果這些選項都不可用，這是否會成爲互聯網的致命缺陷？ – 2011-05-20 23:28:10

除了禁止任何外部圖像（例如，通過代理它們通過您的服務器以便用戶永遠不會打到真正的URL），它不能被「固定」。

來源

2011-05-20 23:25:14 ThiefMaster

除此之外，我會說這也是一個瀏覽器用戶界面問題。瀏覽器可能會特別警告用戶，來自不同來源的嵌入式圖像請求基本身份驗證。 – 2013-02-08 11:17:19

WWW-Authenticate Header CSRF問題

回答

相關問題