WWW-Authenticate Header CSRF 问题答案

【问题标题】：WWW-Authenticate Header CSRF IssueWWW-Authenticate Header CSRF 问题
【发布时间】：2011-05-20 23:05:06
【问题描述】：

我从朋友那里听说，WWW-Authenticate 标头可以在远程服务器上的恶意 php 文件中显式定义，并使用图像 mimetype，例如image/jpeg 或 image/png。

假设情况

假设这个文件是malicious.com/image.php，我将这个图像添加到我在某个任意论坛上的论坛签名中。具体来说，gaiaonline.com。当其他访问者访问包含我的帖子的线程时，他们将看到WWW-Authenticate 标头给出的登录提示。在访问者/受害者输入他们的用户名/密码后，黑客可以将其存储在他们的远程服务器上，通过电子邮件发送给自己，等等。

恶意代码：<img src="malicious.com/image.php" /> 包含 WWW-Authenticate 标头。可通过标准发帖/BBcode输入。

如何解决这个问题？ 我认为这个可以跨域访问。

【问题讨论】：

我认为这比 CSRF 更像网络钓鱼。
@ThiefMaster 我认为浏览器应该自己处理这个问题；否则，应该有一种方法可以禁止基于域的标头。如果这两个选项都不可用，这不是互联网的致命缺陷吗？

标签： php security http-headers csrf www-authenticate

【解决方案1】：

它不能被“修复”，除非禁止任何外部图像（例如，通过您的服务器代理它们，这样用户就不会点击真实的 URL）。

【讨论】：

除此之外，我想说这也是浏览器用户界面的问题。浏览器可能会特别警告用户来自不同来源的嵌入图像请求基本身份验证。