CSRF和SSRF的區別是什么

本篇內容主要講解“CSRF和SSRF的區別是什么”，感興趣的朋友不妨來(lái)看看。本文介紹的方法操作簡(jiǎn)單快捷，實(shí)用性強。下面就讓小編來(lái)帶大家學(xué)習“CSRF和SSRF的區別是什么”吧!

簡(jiǎn)述CSRF、SSRF的區別

在下進(jìn)入網(wǎng)絡(luò )安全行業(yè)不久，目前對Web漏洞可謂是一知半解似懂非懂。正巧公司下午進(jìn)行考核，對在下來(lái)說(shuō)頗有種趕鴨子上架的體驗。其中有這樣一道試題：

“請簡(jiǎn)述CSRF、SSRF與會(huì )話(huà)重放的區別”

說(shuō)實(shí)話(huà)，上述三種漏洞，我也接觸過(guò)不少了，但被這么一問(wèn)，卻仿佛三九天墜入了冰窟一般，一下就懵了。

考試結束后，在下趕緊查閱了相關(guān)的資料，才發(fā)現其中的學(xué)問(wèn)比我要想像的深奧許多。那就擼起袖子學(xué)學(xué)唄，學(xué)以致用，在下將所學(xué)融會(huì )貫通，完成了這篇文章。這里，會(huì )話(huà)重放暫且不提，在下總結了一下CSRF與SSRF的概念與區別。

CSRF:

CSRF，本名為Cross-site requestforgery，也就是跨站請求偽造。

說(shuō)到CSRF，不得不提一下XSS。CSRF看起來(lái)好像和XSS跨站腳本攻擊有著(zhù)“不得不說(shuō)的秘密”，實(shí)則卻是兩個(gè)不同維度的情況。從名字上來(lái)看，同為跨站攻擊，XSS攻擊是跨站腳本攻擊，CSRF攻擊是請求偽造，也就是CSRF攻擊本不是出自用戶(hù)之手，卻經(jīng)過(guò)第三方惡意攻擊者的處理，偽裝成了受信任用戶(hù)的“親歷親為”。

我們所能見(jiàn)到的大部分網(wǎng)站，都是通過(guò)cookie等方式記錄、分辨出受信任用戶(hù)的身份，再予以授權的。所以要偽造用戶(hù)的正常操作，最好的方法是通過(guò)XSS或鏈接引導等途徑，讓用戶(hù)在本機發(fā)起自己所不知道的危險請求，使得惡意攻擊有機可乘，獲取用戶(hù)cookie等信息，以達到身份偽裝目的?？吹竭@里不知您是否有所明白，XSS是實(shí)現CSRF的諸多途徑中的一條，但并不是唯一的一條。

我們平日里做的web漏洞挖掘，一般都是在用戶(hù)修改密碼界面驗證CSRF漏洞，因為這是最能體現該漏洞危害的地方之一。就如前文所說(shuō)，XSS可以在用戶(hù)不知情的情況下，引導用戶(hù)點(diǎn)擊惡意鏈接修改用戶(hù)密碼。

圖源：百度百科CSRF詞條

SSRF:

SSRF,也就是Server Side RequestForgery---端請求偽造。從字面上來(lái)看，與CSRF不同的是，它是服務(wù)器端發(fā)出的請求偽造而非從用戶(hù)一端提交。別誤會(huì )，作為受信任用戶(hù)，服務(wù)器當然不可能做出損害用戶(hù)信息的事。它是一種由攻擊者構造形成，由服務(wù)端發(fā)起請求的一個(gè)安全漏洞。因為它是由服務(wù)端發(fā)起的，所以它能夠請求到與它相連但與外網(wǎng)隔離的內部系統。由于服務(wù)端提供了從其他服務(wù)器應用獲取數據的功能（例如分享等功能）且沒(méi)有對目標地址做過(guò)濾與限制，給予了攻擊者乘虛而入的機會(huì )。比如從指定URL地址獲取網(wǎng)頁(yè)文本內容，加載指定地址的圖片，下載等等。SSRF是利用存在缺陷的web應用作為代理攻擊遠程和本地的服務(wù)器。

我們來(lái)舉個(gè)例子說(shuō)，如何查詢(xún)自己的外網(wǎng)IP？最簡(jiǎn)單的可能就是百度搜索框中輸入“IP”進(jìn)行查詢(xún)。    圖中111.113.*.83，這是我的原IP，如果我用其他服務(wù)器載入這個(gè)網(wǎng)頁(yè)的話(huà)，比如用某翻譯的瀏覽器插件翻譯當前頁(yè)面：    可以看到我的IP變成了61.135.217.12，地址也換了，這就是SSRF漏洞。圖中的結果并不是翻譯插件直接翻譯網(wǎng)頁(yè)內容，而是用該插件的服務(wù)器加載了此頁(yè)面。雖然服務(wù)器并不是惡意，但我們所收到的信息還是出現了偏差。

總的來(lái)說(shuō)，CSRF是服務(wù)器端沒(méi)有對用戶(hù)提交的數據進(jìn)行嚴格的把控，導致攻擊者可以利用用戶(hù)的Cookie信息偽造用戶(hù)請求發(fā)送至服務(wù)器。而SSRF是服務(wù)器對用戶(hù)提供的可控URL地址過(guò)于信任，沒(méi)有經(jīng)過(guò)嚴格檢測，導致攻擊者可以以此為跳板攻擊內網(wǎng)或其他服務(wù)器。