基于随机化参数名的跨站请求伪造防御方法

来源：计算机工程杂志2018年第11期北京时间：

作者：王应军,傅建明,姜百合

单位：武汉大学 计算机学院,武汉 430072

摘要：传统基于客户端的防御方法存在用户体验与兼容性差的问题,容易产生误报和漏报现象,不能有效地防御跨站请求伪造(CSRF)攻击。为此,提出一种对请求参数名随机化的防御方法。通过对网站的统一资源定位器地址中的参数名称,如Form表单中的参数名进行可逆加密,确保在一次会话交互过程中的所有请求的参数名都被随机化,防止攻击者获取参数名信息实施CSRF攻击。基于该方法设计并实现了开源PHP库,并部署在开源的PHP程序上。实验结果证明,与基于Token方法相比,该方法能够更有效地防御CSRF攻击。

关键词：Web安全,跨站请求伪造攻击,基于多样性安全,参数名,随机化

基金资助：国家自然科学基金(61373168)