东南大学网络空间安全实验：跨站请求伪造(CSRF)攻防解析

"东南大学网络空间安全实验基础——跨站请求伪造攻击实验" 这篇资源主要涉及的是网络安全领域中的一个重要概念——跨站请求伪造（Cross-Site Request Forgery, CSRF）攻击，这是一种允许攻击者通过利用用户的已登录状态，强制执行非用户意愿的操作的安全威胁。实验内容分为四个部分，旨在让学生理解和防范这种攻击。 实验内容详细说明： 1. Task1: 观察HTTP请求 学生需要使用工具捕获HTTP GET和POST请求，理解这两种请求在Web交互中的角色，这有助于后续理解CSRF攻击如何利用这两种请求类型。 2. Task2: 使用GET请求进行CSRF攻击 这部分展示了攻击者如何构造一个恶意链接，使得用户在不知情的情况下执行了添加好友的操作。学生需要设计一个网页，使受害者在访问时无意中触发这个操作。 3. Task3: 使用POST请求进行CSRF攻击 这次攻击的目标是改变用户简介，攻击者通过发送带有恶意链接的消息，诱使用户点击，然后在POST请求中完成修改简介的操作。这展示了POST请求在CSRF攻击中的应用，通常POST请求用于提交更敏感的数据。 4. Task4: 为Elgg实现防御措施 实验要求学生了解并应用防御CSRF的策略，如使用秘密令牌。秘密令牌是附加在HTTP请求中的一段随机数据，只有合法的源才能获取和使用，从而防止攻击者在跨站请求中伪造。 实验过程中的问题和答案表明，通过GET请求确实可以发动CSRF攻击，因为攻击者可以构造链接让用户无意中点击。而防御机制如秘密令牌的使用，是因为攻击者无法获取到其他源的令牌，这得益于浏览器的同源策略，从而防止了CSRF攻击的成功。 实验小结部分，学生表示对CSRF攻击的原理和防范有了更深入的理解，同时也意识到自己在代码理解上的不足，这表明实验有效地提升了学生的实践能力和理论知识。 这个实验涵盖了CSRF攻击的基本概念、实施方式以及防御策略，是一次全面且实用的学习体验，有助于提升学生在网络空间安全方面的实战能力。