只是想从认识的人那里得到意见。我正在考虑 CSRF 漏洞，以及我所知道的似乎最流行的对抗它的方法。该方法是在返回的 html 中创建一个 token ，并添加一个具有相同值的 cookie。因此，如果脚本尝试发帖，他们将必须猜测网页中嵌入的 token 才能成功。
但如果他们针对特定网站，为什么他们不能只使用一个脚本
脚本不需要知道 cookie 的内容，它只是利用 cookie 一直来回发送这一事实。
我在这里错过了什么？这不可能吗？如果您考虑一下，我认为这非常可怕。
此行以下不需要阅读来回答问题:)
此漏洞基于身份验证是基于 cookie 完成的事实，我认为这是当前身份验证的主要方式。
我能想到的另一个解决方案是在页面级别进行身份验证。所以 当他们登录时，返回的 html 中将包含该 token 。他们点击的每个链接都包含该 token ，因此当网络服务器收到请求时，它有办法识别用户/ session 。它的问题是，如果他们使用除此之外的任何导航，它们将是“未经身份验证的”(例如输入 url)，而且它在 url 中看起来也不太好，因为它可能看起来像这样:
https://www.example.com/SuperSecretPage/1/123j4123jh12pf12g3g4j2h3g4b2k3jh4h5g55j3h3
但我确实明白，如果安全更重要，那么漂亮的 URL 就会排在第二位。
我对 cookie 不是很了解，但是如果用户代理对他们的 cookie 更加小心一点呢？
例如，如果发送的 cookie 取决于选项卡怎么办？我们现在都使用标签冲浪，对吧？那么如果 cookie 的范围是选项卡呢？因此，如果我在选项卡 1 上打开我的银行网站并在选项卡 2 上冲浪，则任何调用 gets/posts 的脚本 选项卡 2 只会发送选项卡 2 中累积的 cookie。
或者如果 cookie 存储在/域中会怎么样。因此，当我在 example.com 上时，任何返回的 cookie 都会进入 example.com cookie 集合。然后当我访问 www.mybankingsite.com 时，所有 cookie 都被放入 mybankingsite.com 集合中。因此，如果我转到 example.com 并且它运行一个调用 get/post 的脚本，用户代理将只发送 example.com cookie。这不同于发送所请求域的 cookie。例如。如果脚本在 example.com 的网页中调用 mybankingsite.com 的获取，用户代理将不会发送 mybankingsite.com cookie。
我知道我无法控制用户代理的行为，但我只是在探索可能性
最佳答案
所以我认为这里的问题变成了攻击者试图获取页面内容。要获取经过身份验证的用户的页面，攻击者需要能够代表他们发送请求并读取内容。 AJAX 不会发送跨域请求，iframe 不会让您阅读响应。我正在努力想出攻击者首先获取内容的其他方式。
更有可能的黑客正在使用 clickjacking让用户只提交表单。这种技术似乎不太可能。 (警告:这是安全问题，我们总是错的。)
关于javascript - CSRF 漏洞/cookie 问题，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/3110353/
我想为Heroku构建一个Rails3应用程序。他们使用Postgres作为他们的数据库，所以我通过MacPorts安装了postgres9.0。现在我需要一个postgresgem并且共识是出于性能原因你想要pggem。但是我对我得到的错误感到非常困惑当我尝试在rvm下通过geminstall安装pg时。我已经非常明确地指定了所有postgres目录的位置可以找到但仍然无法完成安装:$envARCHFLAGS='-archx86_64'geminstallpg--\--with-pg-config=/opt/local/var/db/postgresql90/defaultdb/po
尝试通过RVM将RubyGems升级到版本1.8.10并出现此错误:$rvmrubygemslatestRemovingoldRubygemsfiles...Installingrubygems-1.8.10forruby-1.9.2-p180...ERROR:Errorrunning'GEM_PATH="/Users/foo/.rvm/gems/ruby-1.9.2-p180:/Users/foo/.rvm/gems/ruby-1.9.2-p180@global:/Users/foo/.rvm/gems/ruby-1.9.2-p180:/Users/foo/.rvm/gems/rub
我的最终目标是安装当前版本的RubyonRails。我在OSXMountainLion上运行。到目前为止，这是我的过程:已安装的RVM$\curl-Lhttps://get.rvm.io|bash-sstable检查已知(我假设已批准)安装$rvmlistknown我看到当前的稳定版本可用[ruby-]2.0.0[-p247]输入命令安装$rvminstall2.0.0-p247注意:我也试过这些安装命令$rvminstallruby-2.0.0-p247$rvminstallruby=2.0.0-p247我很快就无处可去了。结果:$rvminstall2.0.0-p247Search
由于fast-stemmer的问题，我很难安装我想要的任何rubygem。我把我得到的错误放在下面。Buildingnativeextensions.Thiscouldtakeawhile...ERROR:Errorinstallingfast-stemmer:ERROR:Failedtobuildgemnativeextension./System/Library/Frameworks/Ruby.framework/Versions/2.0/usr/bin/rubyextconf.rbcreatingMakefilemake"DESTDIR="cleanmake"DESTDIR=
当我尝试安装Ruby时遇到此错误。我试过查看this和this但无济于事➜~brewinstallrubyWarning:YouareusingOSX10.12.Wedonotprovidesupportforthispre-releaseversion.Youmayencounterbuildfailuresorotherbreakages.Pleasecreatepull-requestsinsteadoffilingissues.==>Installingdependenciesforruby:readline,libyaml,makedepend==>Installingrub
我正在尝试使用boilerpipe来自JRuby。我看过guide从JRuby调用Java，并成功地将它与另一个Java包一起使用，但无法弄清楚为什么同样的东西不能用于boilerpipe。我正在尝试基本上从JRuby中执行与此Java等效的操作:URLurl=newURL("http://www.example.com/some-location/index.html");Stringtext=ArticleExtractor.INSTANCE.getText(url);在JRuby中试过这个:require'java'url=java.net.URL.new("http://www
我意识到这可能是一个非常基本的问题，但我现在已经花了几天时间回过头来解决这个问题，但出于某种原因，Google就是没有帮助我。(我认为部分问题在于我是一个初学者，我不知道该问什么......)我也看过O'Reilly的RubyCookbook和RailsAPI，但我仍然停留在这个问题上.我找到了一些关于多态关系的信息，但它似乎不是我需要的(尽管如果我错了请告诉我)。我正在尝试调整MichaelHartl'stutorial创建一个包含用户、文章和评论的博客应用程序(不使用脚手架)。我希望评论既属于用户又属于文章。我的主要问题是:我不知道如何将当前文章的ID放入评论Controller。
首先回顾一下拉格朗日定理的内容：函数f(x)是在闭区间[a,b]上连续、开区间(a,b)上可导的函数，那么至少存在一个，使得:通过这个表达式我们可以知道，f(x)是函数的主体，a和b可以看作是主体函数f(x)中所取的两个值。那么可以有， 也就意味着我们可以用来替换 这种替换可以用在求某些多项式差的极限中。方法： 外层函数f(x)是一致的，并且h(x)和g(x)是等价无穷小。此时，利用拉格朗日定理，将原式替换为 ，再进行求解，往往会省去复合函数求极限的很多麻烦。使用要注意：1.要先找到主体函数f(x)，即外层函数必须相同。2.f(x)找到后，复合部分是等价无穷小。3.要满足作差的形式。如果是加
目录1．漏洞简介2、AJP13协议介绍Tomcat主要有两大功能：3．Tomcat远程文件包含漏洞分析4．漏洞复现 5、漏洞分析6．RCE实现的原理1．漏洞简介2020年2月20日，公开CNVD的漏洞公告中发现ApacheTomcat文件包含漏洞（CVE-2020-1938）。ApacheTomcat是Apache开源组织开发的用于处理HTTP服务的项目。ApacheTomcat服务器中被发现存在文件包含漏洞，攻击者可利用该漏洞读取或包含Tomcat上所有webapp目录下的任意文件。该漏洞是一个单独的文件包含漏洞，依赖于Tomcat的AJP（定向包协议）。AJP自身存在一定缺陷，导致存在可控
SPI接收数据左移一位问题目录SPI接收数据左移一位问题一、问题描述二、问题分析三、探究原理四、经验总结最近在工作在学习调试SPI的过程中遇到一个问题——接收数据整体向左移了一位（1bit）。SPI数据收发是数据交换，因此接收数据时从第二个字节开始才是有效数据，也就是数据整体向右移一个字节（1byte）。请教前辈之后也没有得到解决，通过在网上查阅前人经验终于解决问题，所以写一个避坑经验总结。实际背景：MCU与一款芯片使用spi通信，MCU作为主机，芯片作为从机。这款芯片采用的是它规定的六线SPI，多了两根线：RDY和INT，这样从机就可以主动请求主机给主机发送数据了。一、问题描述根据从机芯片手
