一种基于Apache的CSRF防御模块的实现

• 作者: 刘健 王马龙
• 来源期刊: 网络安全技术与应用
• 关键词: CSRF Apache 动态HTTP请求 性能
• 年，卷（期）: 2017,（3）
• 所属期刊栏目: 安全模型、算法与编程
• 页码范围: 55-57
• 页数: 3页
• 字数: 2421字
• 语种: 中文

摘要

跨站请求伪造(CSRF)漏洞的存在十分广泛,而且是开放式web应用安全项目(OWASP)统计的Top 10 Web攻击列表中最具威胁的漏洞之一.目前最具代表性的两种CSRF防御工具是CSRFGuard[2]和jCSRF[3].针对CSRFGuard会将JS动态创建的动态HTTP请求误认为是CSRF攻击;jCSRF以代理模式部署,会增大web服务器的响应时间这两大问题,本文通过重写XMLHttpRequest对象onsend的方法,向HTTP头注入CSRF防御Token,基于Apache web服务器实现了一个CSRF防御模块mod_anticsrf,去除了代理的网络通信开销.实验结果表明,mod_anticsrf支持动态HTTP请求,且几乎不影响web服务器的响应时间.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	刘健	四川大学计算机学院	13	109	4.0	10.0
2	王马龙	四川大学计算机学院	1	1	1.0	1.0