iT邦幫忙

2021 iThome 鐵人賽

DAY 22
0
自我挑戰組

Ruby on Rails JS系列 第 22

Ruby on Rails CSRF 攻擊是什麼?

CSRF(Cross-site request forgery)中⽂翻譯成「跨站請求偽造」。通常 CSRF 攻
擊的⽬的不⼀定是直接獲取使⽤者帳⼾的控制權或個資,但可以⽤其它使⽤者的名
義執⾏某些操作。
舉個例⼦來說,假設我想攻擊某個 Blog 平台,我可能可以猜到後台的路徑,例如對
/admin/posts/2 路徑使⽤ DELETE ⽅法,就可以刪除編號 2 號的⽂章。雖然我
沒有這個網站後台的使⽤權限,但我知道 A 先⽣有,所以我就假裝寄⼀封「恭喜
你,你得到了最新的 iphone 8 ⼿機」的 Email 給 A 先⽣,但事實上這個得獎的連結
點下去就是會對 /admin/posts/2 網址發送 DELETE ,⼜剛好 A 先⽣如果處於登
入狀態,那篇⽂章就藉由 A 先⽣的權限被刪除了!

參考資料

[為你自己學Ruby on Rails]https://railsbook.tw/chapters/08-ruby-basic-4.html


上一篇
Layout, Render 與 View Helper
下一篇
Ruby on Rails layout
系列文
Ruby on Rails JS29

尚未有邦友留言

立即登入留言