關閉登錄頁面上的csrf/authenticity_token保護

我們正在考慮關閉登錄頁面上的csrf/authenticity token保護。（可能在登錄帖子動作中使用skip_before_filter）。這將允許我們從我們網站上的靜態html頁面發佈信息。這有什麼安全影響？看起來，如果我們只關閉登錄帖子，就沒有太多的惡意行爲可以完成。關閉登錄頁面上的csrf/authenticity_token保護

來源

2012-06-05 rmw

@apneadiving那不是一個機器人能夠做到這一點了嗎？它需要每次加載頁面以獲得新的令牌，但仍然如此。據我所知，CSRF不會限制登錄嘗試，它只是防止重放攻擊 – Flambino

並且使用csrf標記它是一個2行機械化腳本。 Csrf是關於憑證劫持，這顯然不是一個問題在這裏 –

@apneadiving你似乎不明白CSRF的實際是什麼。 – Gumbo

CSRF令牌並不旨在阻止漫遊器！ CSRF（跨站點請求僞造）是一種攻擊，例如欺騙性的formular/url被觸發，例如，由一個無形的iframe。在弱系統上，這會讓攻擊者更改主頁上的配置。

讓我描述一個示例攻擊：網店的管理員登錄到他的管理員帳戶。攻擊者現在向他發送一封包含虛假主頁鏈接的郵件。當管理員進入頁面時，JavaScript將數據發送到他將發送表單以創建新的管理用戶的URL，並且JavaScript將發送所有需要的數據，如新用戶名，新密碼等。管理員已登錄，所以從網店的角度來看，管理員會創建一個普通的新管理員帳戶。從管理角度來看，什麼都沒發生，因爲都發生在後臺。 CSRF令牌以這種方式防止表單被攻擊。

你可以閱讀了很多關於CSRF維基百科：http://en.wikipedia.org/wiki/Cross-site_request_forgery

來源

2012-06-06 21:37:44 thebod

關閉登錄頁面上的csrf/authenticity_token保護

回答

相關問題