基于随机化参数名的跨站请求伪造防御方法

• 作者: 傅建明 姜百合 王应军
• 来源期刊: 计算机工程
• 学科: 工学
• 关键词: Web安全 跨站请求伪造攻击 基于多样性安全 参数名 随机化
• 年，卷（期）: 2018,（11）
• 所属期刊栏目: 安全技术
• 页码范围: 158-164
• 页数: 7页
• 分类号: TP393
• 字数: 6822字
• 语种: 中文
• DOI: 10.19678/j.issn.1000-3428.0048368

摘要

传统基于客户端的防御方法存在用户体验与兼容性差的问题,容易产生误报和漏报现象,不能有效地防御跨站请求伪造(CSRF)攻击.为此,提出一种对请求参数名随机化的防御方法.通过对网站的统一资源定位器地址中的参数名称,如Form表单中的参数名进行可逆加密,确保在一次会话交互过程中的所有请求的参数名都被随机化,防止攻击者获取参数名信息实施CSRF攻击.基于该方法设计并实现了开源PHP库,并部署在开源的PHP程序上.实验结果证明,与基于Token方法相比,该方法能够更有效地防御CSRF攻击.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	傅建明	武汉大学计算机学院	52	412	10.0	18.0
2	王应军	武汉大学计算机学院	4	10	2.0	3.0
3	姜百合	武汉大学计算机学院	2	1	1.0	1.0