【Web 安全】CSRF 攻击详解

article/2025/9/26 14:17:42

文章目录

  • 一、CSRF 简介
  • 二、CSRF 原理
  • 三、CSRF 的危害
  • 四、CSRF 的攻击类型
    • 1. GET型
    • 2. POST型
  • 五、CSRF 的防御
    • 1. 验证 HTTP Referer 字段
    • 2. 在请求地址中添加 token 并验证
    • 3. 在 HTTP 头中自定义属性并验证
  • 六、WAF 防御 CSRF
  • 参考链接

一、CSRF 简介

CSRF（Cross Site Request Forgery，跨站域请求伪造），也被称为 “One Click Attack” 或者 Session Riding，通常缩写为 CSRF 或者 XSRF 。

尽管听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方式几乎相左。XSS 利用站点内的信任用户，而 CSRF 则通过伪装成来自受信任用户的请求来利用受信任的网站。

二、CSRF 原理

在这里插入图片描述

其中Web A为存在CSRF漏洞的网站，Web B为攻击者构建的恶意网站，User C为Web A网站的合法用户。
CSRF攻击攻击原理及过程如下：

  1. 用户C打开浏览器，访问受信任网站A，输入用户名和密码请求登录网站A；
    2.在用户信息通过验证后，网站A产生Cookie信息并返回给浏览器，此时用户登录网站A成功，可以正常发送请求到网站A；
  2. 用户未退出网站A之前，在同一浏览器中，打开一个TAB页访问网站B；
  3. 网站B接收到用户请求后，返回一些攻击性代码，并发出一个请求要求访问第三方站点A；
  4. 浏览器在接收到这些攻击性代码后，根据网站B的请求，在用户不知情的情况下携带Cookie信息，向网站A发出请求。网站A并不知道该请求其实是由B发起的，所以会根据用户C的Cookie信息以C的权限处理该请求，导致来自网站B的恶意代码被执行。

两个条件：

  1. C 用户访问站点 A 并产生了 cookie
  2. C 用户没有退出 A 同时访问了 B

以下情况都是 CSRF 攻击的潜在风险：

  1. 你不能保证你登录了一个网站后，不再打开一个 tab 页面并访问另外的网站。
  2. 你不能保证你关闭浏览器了后，你本地的 Cookie 立刻过期，你上次的会话已经结束。（事实上，关闭浏览器不能结束一个会话，但大多数人都会错误的认为关闭浏览器就等于退出登录/结束会话了…）
  3. 上图中所谓的攻击网站，可能是一个存在其他漏洞的可信任的经常被人访问的网站。

三、CSRF 的危害

你这可以这么理解 CSRF 攻击：攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF 能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账…造成的问题包括：个人隐私泄露以及财产安全。

四、CSRF 的攻击类型

1. GET型

如果一个网站某个地方的功能，比如用户修改邮箱是通过GET请求进行修改的。如：/user.php?id=1&email=123@163.com ，这个链接的意思是用户id=1将邮箱修改为123@163.com。当我们把这个链接修改为 /user.php?id=1&email=abc@163.com ，然后通过各种手段发送给被攻击者，诱使被攻击者点击我们的链接，当用户刚好在访问这个网站，他同时又点击了这个链接，那么悲剧发生了。这个用户的邮箱被修改为 abc@163.com 了

2. POST型

在普通用户的眼中，点击网页->打开试看视频->购买视频 是一个很正常的流程。可是在攻击者的眼中是不正常的，这是由于开发者安全意识不足所造成的。

攻击者在购买处抓到购买时候网站处理购买(扣除)用户余额的地址。比如：/coures/user/handler/25332/buy.php 。通过提交表单，buy.php处理购买的信息，这里的25532为视频ID。那么攻击者现在构造一个链接，链接中包含以下内容：

<form action=/coures/user/handler/25332/buy method=POST>
<input type="text" name="xx" value="xx" />
</form>
<script> document.forms[0].submit(); </script>

当用户访问该页面后，表单会自动提交，相当于模拟用户完成了一次POST操作，自动购买了 id 为 25332 的视频，从而导致受害者余额扣除。

五、CSRF 的防御

1. 验证 HTTP Referer 字段

根据 HTTP 协议，在 HTTP 头中有一个字段叫 Referer，它记录了该 HTTP 请求的来源地址 。在通常情况下，访问一个安全受限页面的请求来自于同一个网站，比如需要访问 http://bank.example/withdraw?account=bob&amount=1000000&for=Mallory，用户必须先登陆 bank.example，然后通过点击页面上的按钮来触发转账事件。因此，要防御 CSRF 攻击，网站只需要对于每一个转账请求验证其 Referer 值，如果是以 bank.example 开头的域名，则说明该请求是来自银行网站自己的请求，是合法的。如果 Referer 是其他网站的话，则有可能是黑客的 CSRF 攻击，拒绝该请求。

优点：
这种方法的显而易见的好处就是简单易行，网站的普通开发人员不需要操心 CSRF 的漏洞，只需要在最后给所有安全敏感的请求统一增加一个拦截器来检查 Referer 的值就可以。

缺点：

  1. 然而，这种方法并非万无一失。Referer 的值是由浏览器提供的，虽然 HTTP 协议上有明确的要求，但是每个浏览器对于 Referer 的具体实现可能有差别，并不能保证浏览器自身没有安全漏洞。使用验证 Referer 值的方法，就是把安全性都依赖于第三方（即浏览器）来保障，从理论上来讲，这样并不安全。事实上，对于某些浏览器，比如 IE6 或 FF2，目前已经有一些方法可以 篡改 Referer 值 。如果网站支持IE6 浏览器，黑客完全可以把用户浏览器的 Referer 值设为以 bank.example 域名开头的地址，这样就可以通过验证，从而进行 CSRF 攻击。
  2. 即便是使用最新的浏览器，黑客无法篡改 Referer 值，这种方法仍然有问题。因为 Referer 值会记录下用户的访问来源，有些用户认为这样会侵犯到他们自己的隐私权，特别是有些组织担心 Referer 值会把组织内网中的某些信息泄露到外网中。因此，用户自己可以设置浏览器使其在发送请求时不再提供 Referer。当他们正常访问银行网站时，网站会因为请求没有 Referer 值而认为是 CSRF 攻击，拒绝合法用户的访问。

2. 在请求地址中添加 token 并验证

CSRF 攻击之所以能够成功，是因为黑客可以完全伪造用户的请求，该请求中所有的用户验证信息都是存在于 cookie 中，因此黑客可以在不知道这些验证信息的情况下直接利用用户自己的 cookie 来通过安全验证。要抵御 CSRF，关键在于 在请求中放入黑客所不能伪造的信息，并且该信息不存在于 cookie 之中 。可以在 HTTP 请求中以参数的形式加入一个随机产生的 token，并在服务器端建立一个拦截器来验证这个 token，如果请求中没有 token 或者 token 内容不正确，则认为可能是 CSRF 攻击而拒绝该请求。

优点：
这种方法要比检查 Referer 要安全一些，token 可以在用户登陆后产生并 放于 session 之中 ，然后在每次请求时把 token 从 session 中拿出，与请求中的 token 进行比对，但这种方法的难点在于如何把 token 以参数的形式加入请求。对于 GET 请求，token 将附在请求地址之后，这样 URL 就变成 http://url?csrftoken=tokenvalue。 而对于 POST 请求来说，要在 form 的最后加上 ，这样就把 token 以参数的形式加入请求了。

缺点：

  1. 但是，在一个网站中，可以接受请求的地方非常多，要对于每一个请求都加上 token 是很麻烦的，并且很容易漏掉，通常使用的方法就是在每次页面加载时，使用 javascript 遍历整个 dom 树，对于 dom 中所有的 a 和 form 标签后加入 token。这样可以解决大部分的请求，但是对于在页面加载之后动态生成的 html 代码，这种方法就没有作用，还需要程序员在编码时手动添加 token。
  2. 该方法还有一个缺点是难以保证 token 本身的安全。特别是在一些论坛之类支持用户自己发表内容的网站，黑客可以在上面发布自己个人网站的地址。由于系统也会在这个地址后面加上 token，黑客可以在自己的网站上得到这个 token，并马上就可以发动 CSRF 攻击。为了避免这一点，系统可以在添加 token 的时候增加一个判断，如果这个链接是链到自己本站的，就在后面添加 token，如果是通向外网则不加。不过，即使这个 csrftoken 不以参数的形式附加在请求之中，黑客的网站也同样可以通过 Referer 来得到这个 token 值以发动 CSRF 攻击。这也是一些用户喜欢手动关闭浏览器 Referer 功能的原因。

3. 在 HTTP 头中自定义属性并验证

这种方法也是使用 token 并进行验证，和上一种方法不同的是，这里并不是把 token 以参数的形式置于 HTTP 请求之中，而是把它放到 HTTP 头中自定义的属性里。通过 XMLHttpRequest 这个类，可以一次性给所有该类请求加上 csrftoken 这个 HTTP 头属性，并把 token 值放入其中。这样解决了上种方法在请求中加入 token 的不便，同时，通过 XMLHttpRequest 请求的地址不会被记录到浏览器的地址栏，也不用担心 token 会透过 Referer 泄露到其他网站中去。

缺点：

  1. 然而这种方法的局限性非常大。XMLHttpRequest 请求通常用于 Ajax 方法中对于页面局部的异步刷新，并非所有的请求都适合用这个类来发起，而且通过该类请求得到的页面不能被浏览器所记录下，从而进行前进，后退，刷新，收藏等操作，给用户带来不便。
  2. 另外，对于没有进行 CSRF 防护的遗留系统来说，要采用这种方法来进行防护，要把所有请求都改为 XMLHttpRequest 请求，这样几乎是要重写整个网站，这代价无疑是不能接受的。

六、WAF 防御 CSRF

以上防御是技术层面的讨论。实际中进行 CSRF 防护的是使用 WAF（Web应用防火墙，如免费的ShareWAF）。因为 CSRF 只是众多web攻击中的一种，网络攻击还有很多种。WAF可以低于绝大多数的攻击，可极大的提高网站安全性。

参考链接

  1. 浅谈CSRF
  2. Web漏洞之CSRF(跨站请求伪造漏洞）详解

http://chatgpt.dhexx.cn/article/e66AmA9A.shtml

相关文章

如何强制卸载软件，强制卸载的工具。

如何强制卸载软件，强制卸载的工具。

日常使用电脑过程中经常会遇到一些流氓捆绑软件&#xff0c;今天我们教大家如何轻松的强制卸载流氓软件。非常小巧而且强大的一款强制卸载工具&#xff0c;干净清爽。 工具/原料 Geek Uninstaller 方法/步骤 首先我们下载工具&#xff0c;百度输入geek点击搜索&#xff0c;如下…
阅读更多...
HTML文件命名_没有删不掉的文件：强制终止、一键解锁，样样精通

HTML文件命名_没有删不掉的文件：强制终止、一键解锁，样样精通

微信搜一搜 麦克NO1 日常在使用电脑的时候&#xff0c;经常会遇到这样一个问题&#xff1a;想要删除某文件夹里的文件是&#xff0c;系统弹出&#xff1a;该文件无法删除、被系统占用等。那么&#xff0c;一旦遇到该问题该如何应对呢&#xff1f;以后不再担心&#xff0c;接下来…
阅读更多...
使用管理员权限强制删除文件夹

使用管理员权限强制删除文件夹

1、鼠标右键要删除的文件&#xff0c;选择属性&#xff0c;如图所示&#xff1a;2、在界面中&#xff0c;切换到安全选项&#xff0c;点击编辑按钮&#xff0c;如图所示&#xff1a; 3、在窗口中&#xff0c;点击添加&#xff0c;接着在界面中输入对象名称来选择里面输入Admin…
阅读更多...
强制删除鲁大师所有文件

强制删除鲁大师所有文件

方法一&#xff1a;“操作无法完成 文件已在windows文件资源管理器中打开”评论最多的解决办法 当出现拒绝访问的情况&#xff0c;可用方法二 方法二&#xff1a;Windows 10下删除鲁大师卸载后的残留文件夹 1.按住WinR&#xff0c;出现运行对话框&#xff0c;输入regedit&am…
阅读更多...
win10 强制删除文件夹

win10 强制删除文件夹

在win10下编译代码时&#xff0c;发现无法通过delete删除build文件夹&#xff0c;提示需要用户权限&#xff0c;参考该教程&#xff0c;可以利用命令行进行删除。 在资源管理器中打开power shell 显示的powershell如下&#xff1a; 删除指定的文件夹或文件
阅读更多...
Android 单元测试 一

Android 单元测试 一

最近在看软件TDD方面的知识&#xff0c;联想到android也有单元测试&#xff0c;所以就打算实践下&#xff0c;至于为啥要做单元测试&#xff0c;单元测试有那些好处&#xff0c;看官请移步 度娘和google。现在就记录下单元测试第一弹。我用的AS&#xff0c;AS在我们新建一个pro…
阅读更多...
Docker版Jenkins持续集成环境部署

Docker版Jenkins持续集成环境部署

前提&#xff1a; 1、已配置java环境 2、已配置maven环境 3、已安装tomcat 一、Jenkins安装 1. jenkins部署 1.1 命令行启动方式 java -jar jenkins.war --httpPort80811.2 Tomcat 部署方式 将下载的jenkins.war包放到apache-tomcat-9.0.30/webapps目录下如果启动不想带ht…
阅读更多...
java做简单的unitTest

java做简单的unitTest

一、单元测试准备 引入junit和mockito包 单元测试主要注解&#xff1a; SpringBoot RunWith 测试运行器 Before 在测试方法之前运行 Test 测试方法 After 测试方法之后运行 InjectMocks 待测试类 Mock 测试中需要使用到的类(模拟类) Spy 测试中需要使用到的类(真实类) 单元测…
阅读更多...
网络编程懒人入门(一)：快速理解网络通信协议（上篇）

网络编程懒人入门(一)：快速理解网络通信协议（上篇）

1、写在前面 论坛和群里常会有技术同行打算自已开发IM或者消息推送系统&#xff0c;很多时候连基本的网络编程理论&#xff08;如网络协议等&#xff09;都不了解&#xff0c;就贸然定方案、写代码&#xff0c;显得非常盲目且充满技术风险。 即时通讯网论坛里精心整理了《[通俗…
阅读更多...
python入门之网络编程Scoket

python入门之网络编程Scoket

1、网络编程基础&#xff1a; Sockets&#xff08;套接字&#xff09;可以在一个进程内&#xff0c;在同一机器上的进程之间&#xff0c;或者在不同主机的进程之间进行通信&#xff0c;主机可以是任何一台有连接互联网的机器。Socket主要是使用IP地址&#xff0c;协议&#xf…
阅读更多...
CS编程入门篇

CS编程入门篇

CS编程入门 第一部分&#xff1a;JavaScript、NodeJs CSS HTML1.1 前端1.2 网络 第二部分&#xff1a;Python第三部分&#xff1a;Java3.1 面对过程POP&#xff08;性能&#xff09;、面对对象OOP&#xff08;类、对象 封装、继承、多态&#xff09;、面向切面AOP 第四部分&a…
阅读更多...
Python快速编程入门课后习题答案

Python快速编程入门课后习题答案

文章目录 前言第一章一、填空题二、判断题三、选择题四、简答题 第二章一、填空题二、判断题三、选择题四、简答题 第三章一、填空题二、判断题三、选择题四、简答题 第四章一、单选题二、判断题三、填空题四、程序分析题 第五章一、选择题二、判断题三、填空题四、简答题五、程…
阅读更多...
编程入门

编程入门

这篇文章是特地为对编程有兴趣的同学特意准备的，非战斗人员请速速撤离。 ０.选择一门编程语言 选择语言的话不需要纠结太多（但是不推荐易语言之流：），因为编程语言都是大同小异。并且在你精通一门语言之后再去学另一种编程语言时，你会发现卧槽要死要死，这么简单。 如果你…
阅读更多...
Windows网络编程入门：简单的客户端和服务器通信程序调试

Windows网络编程入门：简单的客户端和服务器通信程序调试

昨日入手Windows网络编程经络这本书&#xff0c;第一章给了Echo客户端和服务器的简单通信实例程序。从小白到入门目测都是比较苦逼&#xff0c;居然想不到怎么来测试结果。什么同时运行啊、分别编译运行啊乱七八糟的想法就开始冒。最后还是解决了。 1.运行“服务器.exe”文件 …
阅读更多...
编程算法同步入门

编程算法同步入门

课程内容 开篇词 | 为什么我们要学习编程？ 为什么需要学习编程？ 如今，学习编程的人分为两类，一类是程序员，另一类是期望成为程序员的人。 编程这个事儿，在大多数人眼中还是一种特定领域的、专门的技能，认为学的人都是需要以此谋生的。 其实，作为一个“码龄”超过2…
阅读更多...
编程入门硬件部分

编程入门硬件部分

01 概述 02 计算机硬件 冯 诺依曼体系结构 每台计算机都有一个内部时钟&#xff0c;该时钟以固定速度发射电子脉冲。时钟速度越快&#xff0c;在给 定的时间段内执行的指令就越多。速度的计量单位是 赫兹 ( 1Hz 相当于每秒 1 个脉 冲 。 随着 CPU 速度不断提高&#xff0c;目前…
阅读更多...
C# Socket网络编程入门（服务器与客户端通信，客户端与客户端通信）

C# Socket网络编程入门（服务器与客户端通信，客户端与客户端通信）

WebSocket全双工通讯链接&#xff0c;用于前台和后台自由发送信息 一.效果展示&#xff1a; 效果描述&#xff1a; 1.服务器充当管理员&#xff0c;给所有人发送信息&#xff0c;除服务器以外其他人都能接受到。 2.其他用户发送信息除自己以外其他用户和管理员全能接受到。 …
阅读更多...
TCP/IP网络编程 学习笔记_1 --网络编程入门

TCP/IP网络编程 学习笔记_1 --网络编程入门

前言&#xff1a;这个系列网络编程教程实例代码是在Xcode上运行的&#xff0c;MacOSX&#xff0c;是一个基于UNIX核心的系统&#xff0c;所以基于Linux的网络编程代码一般可以直接在Xcode上运行&#xff0c;如果要移植到Windows其实就只需要稍微改下&#xff0c;本章下面有讲Wi…
阅读更多...
Scratch编程入门

Scratch编程入门

Scratch编程入门 Scratch是麻省理工学院的“终身幼儿园团队”&#xff08;Lifelong Kindergarten Group&#xff09;开发的图形化编程工具&#xff0c;免费。2019年1月2日正式发布, Scratch3.0。 Scratch把计算机执行的指令、逻辑变成了小朋友能看明白的“积木”&#xff0c;…
阅读更多...
C语言网络编程——基础

C语言网络编程——基础

OSI七层参考模型 是理想化的并没有完全实现的模型。 应用层 提供响应的应用服务 表示层 数据的表示和加密 会话层 建立会话关系 传输层 通过传输协议传输数据 网络层 实现跨子网通信&#xff0c;路由转发&#xff0c;维护路由表。 数据链路层 实现以太网内数据帧的转发 …
阅读更多...
推荐文章

Copyright @ 2022~2023