WWW-Authenticate Header CSRF问题

我从朋友那里听说，WWW-Authenticate头可以在远程服务器上的恶意php文件中明确定义，并使用图像MIME类型，例如， image/jpeg或image/png。WWW-Authenticate Header CSRF问题

假设情况

说这个文件是malicious.com/image.php我这个图像添加到我的论坛签名上一些任意的论坛。具体来说，gaiaonline.com。当其他访问者通过我的帖子访问一个帖子时，他们将看到WWW-Authenticate标题给出的登录提示。访问者/受害者输入用户名/密码后，黑客可以将其存储在远程服务器上，并通过电子邮件发送给自己等。

恶意代码：<img src="malicious.com/image.php" />包含WWW-Authenticate标题。可以通过标准发布/ BBcode输入。

这怎么解决？ 我认为这个可以跨域访问。

来源

2011-05-20 Gio Borje

我认为这比CSRF更多的钓鱼攻击。 – ThiefMaster 2011-05-20 23:25:38

@ThiefMaster我认为浏览器应该自己处理这个问题;否则，应该有一种方法来禁止基于域的标题。如果这些选项都不可用，这是否会成为互联网的致命缺陷？ – 2011-05-20 23:28:10

除了禁止任何外部图像（例如，通过代理它们通过您的服务器以便用户永远不会打到真正的URL），它不能被“固定”。

来源

2011-05-20 23:25:14 ThiefMaster

除此之外，我会说这也是一个浏览器用户界面问题。浏览器可能会特别警告用户，来自不同来源的嵌入式图像请求基本身份验证。 – 2013-02-08 11:17:19

WWW-Authenticate Header CSRF问题

回答

相关问题