我知道 csrf 是防止跨站伪造请求的,但是我觉得下面这种方式可能绕过 csrf 。
如果我要伪造一个跨站的请求。我先去访问 django 网站上带 form 的页面( get 方法),得到相应之后拿出来 csrf_token (从 cookie 中或者从页面中),然后再发送请求,请求的头里面写上我上一次拿到的 toekn 。
请问上面我的这个想法,不可行在哪里? 谢谢。
1
RandomK 2017-02-22 14:46:26 +08:00 1
CSRF 是在浏览器里完成的攻击。如果脱离了浏览器的限制,使用其他程序或后端脚本直接获取页面的里的 csrf_token ,再发送请求,和 csrf 没有关系了。在浏览器同源策略的限制下,你无法在 B 网站直接获取 A 网站里的 cookie 和页面内容。
|