保護我的網站

Question

我在審覈我的網站w3af。

它說它在我的網站上發現了幾個問題，但我懷疑這是真的。

的問題之一是：

的網址：http://localhost/en/login很容易受到跨站點請求僞造。它允許攻擊者在將數據發送到服務器時從POST到GET交換方法。

我很確定它不容易受到csrf攻擊，因爲我已經在我的表單中使用了crsf保護（帶有被檢查令牌的字段）。

所以我想知道什麼是該消息有關：

它允許攻擊者從POST交換方法將數據發送到服務器得到的。

我不在乎攻擊者是否能夠從POST切換到GET或者我？

如果我可以請你解釋我爲什麼這樣做？它如何被利用？

Answer 1

從沒有w3af經驗的角度來看，我會認爲它有一些非常基本的規則寫入它，它會檢查這些規則並向他們報告。

在這種情況下，它可能會檢查您是否已經使用$_REQUEST代替$_POST或$_GET，然後，如果它發現它報告錯誤，不管你做出了這個安全的努力。

每個人都會編碼不同，因此讓軟件理解你的代碼的上下文將是一個了不起的成就，可能超出了這個智能。這並不意味着對軟件的攻擊，但說實話，如果我想出了一些能夠理解別人代碼的上下文和意圖的程序，我不會在sourceforge上提供它：p

有關係嗎？也許取決於你對網站的安全程度（見上面的Marc B（+1）評論）。

- 編輯 -

通過使用$_REQUEST，而不是指定$_POST或$_GET你已經離開自己容易受到攻擊的區域，很容易關閉。不僅如此，而且$_REQUEST還包括$_COOKIE。這已被覆蓋here而不是我複製別人的答案。