&nbsp;
<ul>
<li>
<div class="auto-hide-last-sibling-br paragraph-u1TS5p paragraph-element br-paragraph-space">跨站请求伪造（CSRF）原理</div>
<ul class="auto-hide-last-sibling-br">
<li>基本概念：
<ul class="auto-hide-last-sibling-br">
<li>CSRF 是一种常见的网络攻击方式。攻击者利用用户在被信任网站（如银行网站、社交平台等）的登录状态，通过欺骗用户访问恶意网站，在用户不知情的情况下，让用户的浏览器向被信任网站发送恶意请求。例如，攻击者制作一个看似无害的钓鱼网站，当用户访问这个钓鱼网站时，浏览器会携带用户在银行网站的登录凭证（如 Cookie），自动向银行网站发送转账请求。</li>
</ul>
</li>
<li>攻击流程示例：
<ul class="auto-hide-last-sibling-br">
<li>假设用户已经登录了网上银行系统。攻击者构造一个恶意 HTML 页面，其中包含一个隐藏的<code>&lt;form&gt;</code>标签，该标签的<code>action</code>属性指向银行的转账接口，<code>method</code>为<code>POST</code>，并且攻击者在表单中设置了转账金额和收款账户等参数。当用户访问这个恶意页面时，浏览器会自动提交这个表单，由于用户在银行网站是登录状态，银行服务器会认为这是用户自己发起的合法转账请求，从而完成恶意转账。</li>
</ul>
</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-u1TS5p paragraph-element br-paragraph-space">WAF 对 CSRF 防护的关键技术</div>
<ul class="auto-hide-last-sibling-br">
<li>验证请求来源：
<ul class="auto-hide-last-sibling-br">
<li>Referer 检查：WAF 可以检查请求的<code>Referer</code>头信息。<code>Referer</code>字段表示请求的来源页面。正常情况下，用户在网站内的操作产生的请求，其<code>Referer</code>应该是网站内部的页面。例如，银行网站的转账请求应该来自银行网站本身的页面，而不是外部的恶意网站。WAF 通过验证<code>Referer</code>是否符合预期的域名范围，来判断请求是否可能是 CSRF 攻击。不过，这种方法有一定局限性，因为<code>Referer</code>头信息可以被攻击者通过一些手段修改。</li>
<li>Origin 检查：<code>Origin</code>头信息在跨域请求中更准确地表示请求的来源。WAF 可以利用<code>Origin</code>头信息来验证请求是否来自合法的源。与<code>Referer</code>不同，<code>Origin</code>只包含请求的源域名，且不容易被篡改。在现代浏览器的跨域请求场景中，<code>Origin</code>头信息被广泛使用，WAF 通过比较<code>Origin</code>和网站的信任域名单，能够更精准地识别可疑的跨站请求。</li>
</ul>
</li>
<li>令牌（Token）验证：
<ul class="auto-hide-last-sibling-br">
<li>令牌生成与分发：网站在用户登录或进行重要操作（如转账、修改密码等）之前，会生成一个唯一的 CSRF 令牌，并将其嵌入到页面的表单或请求头中发送给用户。这个令牌通常是一个随机的、加密的字符串。例如，电商网站在用户添加商品到购物车的表单中，会插入一个隐藏的<code>CSRF - Token</code>字段，其值是服务器端生成的随机字符串。</li>
<li>令牌验证过程：当用户提交请求时，WAF 会检查请求中是否包含有效的 CSRF 令牌，并且验证令牌的合法性。服务器端会有一个存储和验证令牌的机制，只有当请求中的令牌与服务器端存储的、针对该用户会话的令牌相匹配时，才会认为请求是合法的。这样，即使攻击者能够构造恶意请求，由于没有正确的令牌，请求也会被 WAF 拦截。</li>
</ul>
</li>
<li>Same &#8211; Site Cookie 属性应用：
<ul class="auto-hide-last-sibling-br">
<li>属性原理：<code>Same - Site</code>是 Cookie 的一个属性，用于控制 Cookie 在跨站请求中的发送行为。当设置为<code>Strict</code>时，浏览器只会在同站请求（即请求的来源和目标是相同的域名）中发送 Cookie；当设置为<code>Lax</code>时，浏览器会在一些安全的跨站请求场景（如通过<code>&lt;a&gt;</code>标签导航的<code>GET</code>请求）中发送 Cookie。WAF 可以协助网站配置和强制使用<code>Same - Site</code>属性，减少 CSRF 攻击利用 Cookie 的可能性。</li>
<li>实际应用场景：例如，对于银行网站的登录 Cookie，将其<code>Same - Site</code>属性设置为<code>Strict</code>。这样，当用户访问外部恶意网站时，浏览器不会发送银行网站的登录 Cookie，从而有效防止 CSRF 攻击利用用户的登录状态进行恶意操作。</li>
</ul>
</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-u1TS5p paragraph-element br-paragraph-space">WAF 在 CSRF 防护中的优势与挑战</div>
<ul class="auto-hide-last-sibling-br">
<li>优势：
<ul class="auto-hide-last-sibling-br">
<li>自动化防护：WAF 能够实时监控和拦截可疑的跨站请求，无需网站开发者手动编写大量复杂的验证代码。这大大提高了防护效率，尤其是对于大型网站或复杂的网络应用，能够快速有效地应对 CSRF 攻击。</li>
<li>集中管理与更新：企业或网站运营者可以通过 WAF 控制台集中管理 CSRF 防护策略。并且，WAF 厂商会根据新出现的攻击手段和安全漏洞，及时更新防护规则和算法，网站运营者只需更新 WAF 的配置，就可以获得最新的防护能力。</li>
</ul>
</li>
<li>挑战：
<ul class="auto-hide-last-sibling-br">
<li>误报问题：由于网络环境的复杂性和业务逻辑的多样性，WAF 在验证请求来源和令牌时，可能会出现误报的情况。例如，一些合法的跨域合作场景下的请求可能会因为验证规则过于严格而被误判为 CSRF 攻击。解决误报问题需要对 WAF 的规则进行精细调整，同时结合网站的具体业务需求进行定制化设置。</li>
<li>绕过技术：攻击者可能会尝试使用一些新技术来绕过 WAF 的 CSRF 防护。比如，利用浏览器的漏洞来篡改请求头信息，或者通过复杂的 JavaScript 代码来模拟合法的请求流程。为了应对这些绕过技术，WAF 需要不断地进行技术升级和安全研究，以保持其防护的有效性。</li>
</ul>
</li>
</ul>
</li>
</ul>
&nbsp;

&#160; 跨站请求伪造（CSRF）原理 基本概念： CSRF 是一种常见的网络攻击方式。攻击者利用用户在被 [&#8230;]

WAF 跨站请求伪造防护深度解读

&nbsp;
<ul>
<li>理论基础
<ul class="auto-hide-last-sibling-br">
<li>SSL 证书用于在客户端和服务器之间建立安全的加密连接。当网站启用 SSL 证书时（通过 https:// 访问），数据传输过程中的加密和解密操作会消耗一定的计算资源。这主要涉及到非对称加密算法（如 RSA）在握手阶段交换密钥，以及对称加密算法（如 AES）在后续数据传输阶段的加密和解密。</li>
<li>从网络层面看，使用 https 协议可能会增加额外的 TCP 连接建立的时间开销。因为在传统的 http 连接基础上，https 还需要进行 SSL/TLS 握手过程。这个握手过程包括客户端向服务器发送支持的加密算法列表、服务器选择加密算法并返回数字证书、客户端验证证书合法性、双方协商生成会话密钥等步骤。</li>
</ul>
</li>
<li>实际影响因素
<ul class="auto-hide-last-sibling-br">
<li>服务器性能：
<ul class="auto-hide-last-sibling-br">
<li>如果服务器的硬件配置较低，例如 CPU 性能差、内存不足，那么处理 SSL 证书相关的加密和解密操作会比较吃力。例如，在老旧的单核服务器上，启用 SSL 后，处理加密任务可能会使 CPU 使用率大幅上升，导致网站响应时间明显增加。</li>
<li>高性能的服务器能够更高效地处理加密和解密工作。像配备多核高性能 CPU 和充足内存的服务器，可以利用多核心并行处理加密任务，减少 SSL 证书对加载速度的影响。</li>
</ul>
</li>
<li>证书类型和质量：
<ul class="auto-hide-last-sibling-br">
<li>不同类型的 SSL 证书（如 DV &#8211; 域名验证型、OV &#8211; 组织验证型、EV &#8211; 扩展验证型）在验证过程中的复杂程度不同。DV 证书验证相对简单，主要验证域名所有权，其对加载速度的影响相对较小。而 EV 证书除了验证域名所有权外，还对企业的合法性等进行严格验证，这个过程可能会稍微复杂一些，在一定程度上影响加载速度。</li>
<li>证书的质量也很重要。一些由知名权威机构颁发的高质量证书，其算法优化较好，在加密和解密过程中效率较高。相反，质量差的证书可能会导致兼容性问题或者加密效率低下，从而影响网站加载速度。</li>
</ul>
</li>
<li>网站内容大小和复杂度：
<ul class="auto-hide-last-sibling-br">
<li>对于内容简单、页面较小的网站，如只有少量文本的静态页面，SSL 证书对加载速度的影响相对较小。因为加密和解密的数据量少，即使有额外的 SSL 开销，在整体加载时间中所占比例也不大。</li>
<li>然而，对于内容丰富、包含大量图片、视频等多媒体元素的复杂网站，SSL 证书的影响可能会更明显。因为有更多的数据需要加密和解密，而且这些多媒体元素本身加载就需要一定的时间，SSL 加密操作会在这个基础上进一步增加加载时间。</li>
</ul>
</li>
</ul>
</li>
<li>具体的影响程度
<ul class="auto-hide-last-sibling-br">
<li>在理想情况下，对于配置良好的服务器和简单的网站，启用 SSL 证书可能只会使网站加载速度降低 5 &#8211; 10% 左右。例如，一个原本加载时间为 1 秒的简单网站，启用 SSL 后可能会增加到 1.05 &#8211; 1.1 秒。</li>
<li>但如果服务器性能差且网站内容复杂，加载速度可能会降低 30 &#8211; 50% 甚至更多。比如一个复杂的电商网站，原本加载时间为 5 秒，启用 SSL 后可能会增加到 7.5 &#8211; 10 秒。不过，随着技术的不断进步，如 HTTP/2 协议的应用（它在 https 下也能高效工作）、服务器端优化（如硬件加速卡用于加密运算）等，可以在很大程度上减少 SSL 证书对加载速度的不利影响。</li>
</ul>
</li>
</ul>
&nbsp;

&#160; 理论基础 SSL 证书用于在客户端和服务器之间建立安全的加密连接。当网站启用 SSL 证书时（通 [&#8230;]

如何查看网站是否正确安装了 SSL 证书

根据中国《非经营性互联网信息服务备案管理办法》、《互联网信息服务管理办法》等法律法规要求，未备案等不符合中国大陆相关法律法规的网站不得在大陆境内开展业务。知道创宇目前仅针对大陆境内合法合规的网站可提供免费服务，针对大陆境内未备案的网站，无法提供服务（如DNS解析、CDN、网站服务器抗D、网站防黑客入侵）；由于法律法规差异，针对海外客户，我们在海外建立了数个数据中心，可支持海外网站加速防护，若有相关需求请联系在线客服咨询。

根据中国《非经营性互联网信息服务备案管理办法》、《互联网信息服务管理办法》等法律法规要求，未备案等不符合中国大陆相关法律法规的网站不得在大陆境内开展业务。

没有ICP备案的网站/域名能使用云安全吗？

知道创宇云防御会对长时间没有将DNS解析接入云防御的域名做清理（包含DNS解析），因此您需要重新激活域名并完成域名归属验证。 <div class="media-wrap image-wrap"><img src="http://help.yunaq.com/wp-content/uploads/2021/01/1.png" alt="" srcset="http://help.yunaq.com/wp-content/uploads/2021/01/1.png 1522w, http://help.yunaq.com/wp-content/uploads/2021/01/1-300x37.png 300w, http://help.yunaq.com/wp-content/uploads/2021/01/1-768x96.png 768w, http://help.yunaq.com/wp-content/uploads/2021/01/1-1024x128.png 1024w, http://help.yunaq.com/wp-content/uploads/2021/01/1-60x7.png 60w, http://help.yunaq.com/wp-content/uploads/2021/01/1-150x19.png 150w" sizes="(max-width: 1522px) 100vw, 1522px" class="alignnone size-full wp-image-2623"/></div><div class="media-wrap image-wrap"><img src="http://help.yunaq.com/wp-content/uploads/2021/01/2.png" alt="" srcset="http://help.yunaq.com/wp-content/uploads/2021/01/2.png 1543w, http://help.yunaq.com/wp-content/uploads/2021/01/2-300x167.png 300w, http://help.yunaq.com/wp-content/uploads/2021/01/2-768x427.png 768w, http://help.yunaq.com/wp-content/uploads/2021/01/2-1024x569.png 1024w, http://help.yunaq.com/wp-content/uploads/2021/01/2-60x33.png 60w, http://help.yunaq.com/wp-content/uploads/2021/01/2-150x83.png 150w" sizes="(max-width: 1543px) 100vw, 1543px" class="alignnone size-full wp-image-2624"/></div><div class="media-wrap image-wrap"><img src="http://help.yunaq.com/wp-content/uploads/2021/01/3.png" alt="" srcset="http://help.yunaq.com/wp-content/uploads/2021/01/3.png 1531w, http://help.yunaq.com/wp-content/uploads/2021/01/3-300x133.png 300w, http://help.yunaq.com/wp-content/uploads/2021/01/3-768x341.png 768w, http://help.yunaq.com/wp-content/uploads/2021/01/3-1024x454.png 1024w, http://help.yunaq.com/wp-content/uploads/2021/01/3-60x27.png 60w, http://help.yunaq.com/wp-content/uploads/2021/01/3-150x67.png 150w" sizes="(max-width: 1531px) 100vw, 1531px" class="alignnone size-full wp-image-2625"/></div> 若激活域名时提示“已存在相同的激活域名”，请联系在线客服。

知道创宇云防御会对长时间没有将DNS解析接入云防御的域名做清理，因此您需要重新激活域名并完成域名归属验证。 &#038; [&#8230;]

热门搜索词

热门文章

如何查看网站是否正确安装了 SSL 证书

没有ICP备案的网站/域名能使用云安全吗？

为什么以前添加过的域名需要重新激活？

关注知道创宇云安全

完善信息下载白皮书

热门搜索词

热门文章

如何查看网站是否正确安装了 SSL 证书

没有ICP备案的网站/域名能使用云安全吗？

为什么以前添加过的域名需要重新激活？

关注知道创宇云安全