csrf攻击与防护—2用flask简单演示防范csrf攻击之referer
CSRF 攻击之所以能够成功,是因为黑客可以完全伪造用户的请求,该请求中所有的用户验证信息都是存在于 cookie 中,因此黑客可以在不知道这些验证信息的情况下直接利用用户自己的 cookie 来通过安全验证。要抵御 CSRF,关键在于在请求中放入黑客所不能伪造的信息,并且该信息不存在于 cookie 之中。可以在 HTTP 请求中以参数的形式加入一个随机产生的 token,并在服务器端建立一个拦截器来验证这个 token,如果请求中没有 token 或者 token 内容不正确,则认为可能是 CSRF 攻击而拒绝该请求。
token 验证
从上面的样式可以发现,攻击者伪造了转账的表单,那么网站可以在表单中加入了一个随机的token来验证.token随着其他请求数据一起被提交到服务器.服务器通过验证token的值来判断post请求是否合法.由于攻击者没有办法获取到页面信息,所以它没有办法知道token的值.那么伪造的表单中就没有该token值.服务器就可以判断出这个请求是伪造的.
以下是演示代码
bank.py
import uuid
from flask import render_template, Flask, request, jsonify, make_response
app = Flask("haha")
YOUR_BANK_ACOUNT = 1000000000
ID = str(uuid.uuid1())
CSRF_TOKEN = str(uuid.uuid1())
@app.route("/")
def root():
# 防止csrf攻击手段2 -- token验证
# 将token放入form表单中,随表单一起提交作为验证参数(也可放入页面任一位置),攻击者是拿不到这个参数的
response = make_response(render_template("bank_page.html", csrftoken=CSRF_TOKEN))
# cookie校验无法阻止csrf攻击
response.set_cookie("id", ID)
return response
@app.route("/quit")
def quit():
response = make_response("退出成功!")
response.delete_cookie("id")
return response
@app.route("/transfer_money")
def form():
# 简单验证cookie
if ID != request.cookies.get("id"):
print("cookie验证失败!可能正遭受攻击!")
return jsonify({"status": "Fail"})
# 防止csrf攻击手段1 -- refer验证
# refer = request.headers.environ.get("HTTP_REFERER")
# if refer != "http://127.0.0.1:8082/":
# print("refer验证失败!可能正遭受攻击!")
# return jsonify({"status": "Fail"})
# 防止csrf攻击手段2 -- token验证
csrf_token = request.values.get("csrftoken")
if csrf_token != CSRF_TOKEN:
print("csrf_token验证失败!可能正遭受攻击!")
return jsonify({"status": "Fail"})
global YOUR_BANK_ACOUNT
cash = int(request.values.get("money"))
YOUR_BANK_ACOUNT -= cash
print(f"Transfer {cash} yuan, YOUR_BANK_ACOUNT left {YOUR_BANK_ACOUNT}")
return jsonify({"status": "OK"})
if __name__ == "__main__":
app.run(port=8082)
bank_page.html
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>main</title>
</head>
<body>
<h1>账户转移!</h1>
<form action="/transfer_money">
transfer_money:<br>
<input type="text" name="money" value="0">
<br>
<input type="hidden" name="csrftoken" value="{{csrftoken}}"/>
<br><br>
<input type="submit" value="Submit">
</form>
点击下面链接退出<br>
<a href="quit">quit</a>
</body>
</html>
以下是攻击网站代码
csrf_attack.py
from flask import render_template, Flask, request, jsonify
app = Flask("haha")
@app.route("/")
def root():
return render_template("page_attack.html")
if __name__ == "__main__":
app.run(port=8083)
page_attack.html
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>main</title>
</head>
<body>
<h1>抽大奖!</h1>
<form action="http://127.0.0.1:8082/transfer_money">
<input type="hidden" name="money" value="100000">
<input type="submit" value="点我抽大奖">
</form>
</body>
</html>
原文参考:
CSRF攻击原理及预防手段
安全篇——如何预防CSRF攻击