CSRF与点击劫持教学宣讲

20XX/XX/XXCSRF与点击劫持教学宣讲汇报人:XXXCONTENTS目录01

课程开篇概述02

CSRF攻击原理03

CSRF危害场景04

CSRF防御方案CONTENTS目录05

点击劫持攻击原理06

点击劫持危害场景07

点击劫持防御方案08

课程总结课程开篇概述01课程学习目标

掌握CSRF与点击劫持核心原理透彻理解两类攻击的技术逻辑，能精准区分二者的触发条件与作用机制，比如CSRF的跨域伪造请求特性。

识别两类攻击的典型场景能快速识别电商支付、账户设置等场景中潜藏的CSRF与点击劫持风险，比如虚假购物链接诱导案例。

掌握基础防御方法熟练应用验证令牌、弹窗提示等防御手段，可针对常见攻击场景制定基础防护方案，保障系统安全。漏洞基础概念CSRF漏洞核心定义即跨站请求伪造，指攻击者冒充用户发起恶意请求，曾引发微博账号批量发布违规内容事件。点击劫持漏洞本质解析属于视觉欺骗类漏洞，攻击者通过透明层诱导用户误操作，谷歌、微软曾遭此类漏洞攻击。两类漏洞的触发条件差异CSRF依赖用户登录态与伪造请求，点击劫持需构造嵌套页面实现视觉误导，场景各有不同。CSRF攻击原理02利用用户已登录状态发起请求攻击者借助用户已在目标站点登录的身份，伪造请求触发操作，如某电商平台曾出现的恶意下单案例。冒用用户可信身份凭证攻击者盗用用户留存的Cookie等身份凭证，绕过验证发起非法请求，无需用户主动输入账号密码。诱导用户触发恶意请求攻击者通过伪装链接、恶意弹窗诱导用户点击，进而触发预设的攻击请求，常见于钓鱼类诈骗场景。核心攻击逻辑请求构造方式

伪造GET请求构造攻击者可通过嵌入恶意链接，诱使用户点击发起GET请求，如仿冒银行转账链接实施攻击。

伪造POST请求构造攻击者可搭建包含隐藏表单的恶意页面，诱使用户触发表单提交，发起伪造的POST请求。

利用AJAX异步请求构造攻击者借助JavaScript脚本发起异步请求，在用户无感知的情况下完成攻击请求的构造。常见攻击载体

恶意链接诱导攻击者伪装成福利链接，如"免费会员领取"，用户点击后触发CSRF请求，篡改账户信息。

嵌入恶意图片攻击者将恶意请求隐藏在论坛、邮件的图片代码中，用户加载页面时自动发起攻击。

伪造表单提交攻击者仿造银行转账页面，诱导用户填写信息，提交时触发CSRF完成非法转账。CSRF危害场景03非法篡改账户核心信息攻击者通过CSRF伪造请求，可擅自修改用户绑定手机号，如某社交平台曾出现此类用户信息被盗改事件。恶意提升账户操作权限借助CSRF漏洞，攻击者能将普通用户权限提升至管理员，像某电商后台曾遭此攻击致数据泄露。非法转移账户资产权限利用CSRF攻击，攻击者可盗用用户支付权限转移资产，如某支付平台曾发生用户余额被非法划转案例。账户权限类危害业务操作类危害非法转账操作攻击者可利用CSRF伪造用户转账请求，如曾发生的某银行用户账户被恶意转走资金的案例。虚假订单提交攻击者通过CSRF伪造用户下单请求，电商平台曾出现过用户不知情下被生成高价订单的情况。账户权限变更借助CSRF，攻击者能篡改用户账户权限，比如某社交平台用户曾被恶意设置账号为隐私状态。CSRF防御方案04Token验证机制

01随机Token生成与分发服务端为每个会话生成唯一随机Token，嵌入表单或HTTP头，如京东登录表单的隐藏Token字段。

02请求时Token校验客户端提交请求需携带Token，服务端对比存储的Token，不一致则拒绝，避免非法请求。

03Token时效性设置为Token设置有效时长，比如15分钟有效期，超时自动失效，降低被窃取后滥用的风险。同源校验方案

验证请求来源域名服务器通过校验请求的Referer或Origin字段，判断是否为可信同源，比如限制仅允许自家域名发起请求。

使用SameSiteCookie属性将Cookie设置为SameSite=Strict或Lax，像Chrome浏览器就支持该属性，能阻止跨站发送Cookie。

生成并校验CSRF令牌服务器给每个会话生成唯一令牌，表单提交时携带，服务器校验令牌一致性，例如GitHub登录表单就采用该方式。短信验证码二次验证在用户发起转账等敏感操作时，平台发送短信验证码，需用户输入后才能完成操作，支付宝常用此方式。图形验证码二次验证用户提交重要表单前，需完成滑动拼图、字符识别等图形验证，有效拦截自动化CSRF攻击。生物特征二次验证在进行账户权限变更时，要求用户完成指纹或人脸识别验证，微信支付的大额转账便采用该方式。交互二次验证SameSiteCookie配置

Strict模式配置Strict模式下Cookie仅在同站请求时发送，谷歌Chrome浏览器默认开启，可彻底阻断跨站CSRF请求。Lax模式配置Lax模式允许部分跨站GET请求携带Cookie，如链接跳转，兼顾安全与部分业务场景需求。None模式配置None模式需搭配Secure属性使用，适用于跨站业务场景，确保Cookie仅通过HTTPS协议传输。点击劫持攻击原理05核心攻击逻辑

伪装可信页面诱导点击攻击者将恶意操作按钮隐藏在正常页面下方，诱导用户点击，比如伪装成银行转账确认按钮。

利用iframe嵌套劫持交互攻击者通过iframe嵌套目标网站页面，设置透明层覆盖，用户操作时实则触发恶意指令。透明层构造方法iframe嵌套透明遮罩层利用iframe嵌入目标页面，在上方叠加透明div层，诱导用户点击时触发目标页面操作，如某电商平台曾遭此类攻击。CSS定位透明覆盖层通过CSS的position属性将透明元素精准定位在目标按钮上方，用户点击时实则触发预设恶意操作。SVG图形透明伪装层借助SVG绘制透明可点击图形，覆盖在目标交互区域，诱导用户误触执行攻击者预设的指令。伪装交互按钮诱导点击攻击者会将攻击按钮伪装成优惠券领取图标，用户误点后就会触发转账等恶意操作。叠加透明可点击层诱导点击攻击者在正常页面上叠加透明攻击层，用户点击正常按钮时实则触发了恶意指令。虚假弹窗诱导点击攻击者弹出虚假中奖弹窗，用户点击确认时，会在不知情下完成授权类恶意操作。诱导点击实现点击劫持危害场景06恶意操作类危害

未经授权转账操作攻击者通过点击劫持诱导用户点击隐藏付款按钮，如模拟电商支付界面，导致用户账户资金被盗转。

恶意授权权限变更黑客利用点击劫持伪造权限申请弹窗，诱导用户误点，例如篡改社交账号登录授权，窃取用户隐私信息。

虚假账号绑定操作攻击者构造隐藏绑定界面，诱导用户点击完成账号关联，比如绑定恶意第三方平台，造成账号被盗风险。个人账户信息盗刷黑客通过点击劫持诱导用户操作，盗刷支付宝、微信等支付账户，造成用户财产直接损失。敏感身份信息窃取借助点击劫持诱骗用户填写身份证号、银行卡号等信息，如某电商平台曾出现此类泄露事件。企业内部数据窃取攻击者通过点击劫持获取员工权限，窃取企业客户名单、核心技术文档等机密信息。信息窃取类危害点击劫持防御方案07X-Frame-Options配置设置DENY参数配置该参数后，页面禁止被任何网站嵌入iframe，GitHub后台管理页面就采用此配置杜绝点击劫持。设置SAMEORIGIN参数仅允许同源网站嵌入页面，比如百度搜索结果页通过此配置保障仅自身域名可嵌套。设置ALLOW-FROM参数指定可嵌入页面的域名，企业内部系统常配置此参数允许指定合作方域名嵌套页面。CSP框架防护

配置default-src限制资源加载通过设置default-src指令，仅允许信任域名的资源加载，如限定仅加载官网CDN资源，阻断恶意注入脚本。

启用frame-ancestors防嵌套配置frame-ancestors指令为'self'或指定域名，禁止恶意网站通过iframe嵌入本页面，防范点击劫持嵌套攻击。

设置script-src管控脚本执行限定script-src仅允许信任的脚本源，比如仅允许本域名和官方统计脚本，阻止恶意脚本的非法执行。点击干扰防护

添加随机干扰按钮页面中添加透明随机位置的干扰按钮，像支付宝登录页就用此方式，误触时无法触发真实操作。

动态变换点击区域定期随机调整关键按钮的坐标范围，如网银转账页，让攻击者预设的点击位置失效。

设置点击验证弹窗触发敏感操作时弹出随机验证码弹窗，如电商支付环节，需验证后才能完成操作。前端样式防御

01利用CSSpointer-events属性禁用交互通过将关键按钮、链接的pointer-events设为none，可阻止用户误点击，比如支付宝支付按钮的临时保护。

02添加全屏透明遮罩层在页面顶部叠加全屏透明遮罩，拦截非法点击操作，银行网银登录页常采用该方式防范点击劫持。

03设置iframesandbox属性限制权限给嵌入的iframe添加sandbox属性，禁止其执行脚本、发起弹窗，避免恶意页面诱导用户操作。课程