csrf令牌，安全问题？

Question

你能帮我解决使用asp.net 2.0时发现的CSRF问题吗？

问题描述：

[3 1]跨站请求伪造 严重性：中 测试类型：应用 弱势网址：https://somesite/somepage.aspx 整治任务：拒绝恶意请求

推理： 的相同的请求在不同的会话中发送了两次，并收到相同的响应。 这表明没有任何参数是动态的（会话标识符仅在 Cookie中发送），因此应用程序容易受到此问题的影响。

Answer 1

我建议阅读CSRF以确定你想要保护什么以及为什么。基本上，CSRF的问题是攻击者可以冒充你并获取你的数据。您可以通过在请求中传递会话信息来改变这一点，而不仅仅是来自cookie。这会使您的会话免受此类攻击的影响。这是一个更好的解释比我能给：

http://palisade.plynt.com/issues/2008Jun/cross-site-request-forgery/

这里是安全问题（包括CSRF）两部分的文章，以及如何解决这些问题：

http://palisade.plynt.com/issues/2009Dec/secure-coding-aspdotnet/

http://palisade.plynt.com/issues/2010Apr/secure-coding-aspdotnet-p2/

还有一个名为AntiCSRF的CodePlex项目，可以很容易地解决这些类型的问题（虽然它在一段时间内还没有更新）：

http://anticsrf.codeplex.com/