提问人：RobertPitt 提问时间：8/26/2010 最后编辑：RobertPitt 更新时间：8/26/2010 访问量：560
注销哈希，如何处理？
Logout hashes, how are they handled?
问：
在 php 中通常如何处理注销哈希？
在许多网站上，通常会有注销哈希值来确认注销的用户是正确的用户，这通常是如何处理的？
例子
http://domain.com/user/logout/nil4ytwojytjwoytjwy5tw5
nil4ytwojytjwoytjwy5tw5 是哈希值
只是对我的研究进行更新，以便其他人可以看到它是如何工作的。
我发现这种类型的攻击主要用于 xero-byte 图像和 iframe。
如果您登录了站点 A 并且您还浏览了站点 B，则站点 B 填缝位置让我们说一个图像标签：
<img src="http://SITE_A.com/logout/" width="1" height="1" style="display:none" />
并且由于请求实际上来自合法登录用户，因此会处理该请求。
通过向重要表单（例如转账帐户、注销等）添加验证值，黑客无法获得此值，因此请求将无法执行！
感谢您的帮助
答：
3赞
rook
8/26/2010
#1
这是为了停止 CSRF。该值是一个“csrf 令牌”，它是存储为会话变量的加密随机数（随机数）。检查它以确保请求来自同一站点，而不是从攻击者的站点伪造的。
评论
0赞
RobertPitt
8/26/2010
所以与常规表单验证哈希没有区别吗？
0赞
rook
8/26/2010
@RobertPitt不应该，随机值是用消息摘要函数还是通过其他方式生成并不重要。事实上，它可能是不同基数中的哈希值，它看起来并不那么随机，它有很多重复的字符......
0赞
RobertPitt
8/26/2010
CSRF 与会话劫持有关吗？如果是这样，我已经实施了会话劫持预防策略！- 你有没有关于如何完成 CSRF 的指南，以便我可以更好地了解它？
0赞
rook
8/26/2010
@RobertPitt 不，我认为它们是不同的。此外，OWASP将它们分开。会话劫持更多的是获取受害者的会话 ID 并使用它来进行身份验证。CSRF 正在强制受害者的浏览器为您提出请求。首先，我会阅读 Google 浏览器安全手册，然后我会阅读有关这些攻击的 OWASP 页面。
1赞
RobertPitt
8/26/2010
非常感谢您的帮助，IM Shore Google 的 Chrome 手册将是一个很好的开始
上一个：在框架中创建模块系统
下一个：树视图替代方案
评论