CGI 通用本站点请求伪造 (OSRF)
medium Nessus 插件 ID 47832
语言：
简介
远程 Web 服务器可能受到本站点请求伪造攻击的影响。描述
远程 Web 服务器托管的 CGI 脚本无法适当审查包含特殊字符（例如点、斜杠、反斜线、等号、问号等）的请求字符串。通过利用此问题，攻击者可造成用户在访问有漏洞的页面时执行任意 GET 请求。
本站点请求伪造 (OSRF) 是更广泛的跨站请求伪造 (CSRF) 攻击类型的一种。
** 如果所有敏感操作皆通过 POST 执行，
** 或如果实现了针对跨站请求伪造的某些通用防御，
** 则 Web 应用程序将不受此漏洞影响。
** 即使在 Web 应用程序的当前状态下无法利用此漏洞，
** 但是允许用户在页面中注入任意字符
** 肯定非常危险。
解决方案
限制对有漏洞的应用程序的访问。联系供应商以获取补丁或升级。另见
https://en.wikipedia.org/wiki/Cross-site_request_forgery
http://www.nessus.org/u?a98d8191
http://blog.portswigger.net/2007/05/on-site-request-forgery.html