Web系统csrf漏洞攻防

前言

csrf 漏洞是配合xss漏洞对web系统进行渗透攻击的，或者是攻击者构造一个恶意的请求，例如 http://www.test.com/help.html 如果目标 web 系统存在 csrf 漏洞，并且系统管理员已经登录，那么攻击者可以诱骗管理员点击 http://www.test.com/help.html 这个链接，这时候攻击方相当于盗用了管理员的身份来进行操作，而且管理员丝毫未察觉，这个攻击就已经完成了，风险可想而知。

解决方案

可以对指向服务器的请求的请求头中的referer进行校验，判断当前erferer是否是来自本网站，如果不是则定为非法访问，直接拒绝，具体做法是写一个全局过滤器，废话不多说，直接上代码：

过滤器 RefererFilter：

package com.common.filter;

import java.io.IOException;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

import org.apache.log4j.LogManager;
import org.apache.log4j.Logger;

/**
 * @ClassName: RefererFilter
 * @Description: 过滤非本站请求, 防止csrf跨站请求伪造进行攻击
 * @author weny.yang
 */
public class RefererFilter implements Filter {
	private static final Logger logger = LogManager.getLogger(RefererFilter.class);

	public void init(FilterConfig filterconfig1) throws ServletException {
		
	}
	
        public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws     IOException, ServletException {
		HttpServletRequest request = (HttpServletRequest) req;
		HttpServletResponse response = (HttpServletResponse) res;
		
		//请求url
                String url = request.getServletPath();  
		//请求来源标识
		String referer = request.getHeader("referer");
		String webPath = request.getScheme()+"://"+request.getServerName()+":"+request.getServerPort()+request.getContextPath()+"/";
		//拦截所有不是来自本网站的非静态资源请求
		if(url.contains("/servlet/") && (null==referer || (null!=referer && !referer.contains(webPath)))) {
			logger.info("非法盗链请求被拦截,Referer= " + referer + " 目标Url= " + url);
			return;
		}
		chain.doFilter(request, response);
	}
	public void destroy() {
		
	}

}

web.xml 配置：

<!-- 过滤非本站请求，防止csrf跨站请求伪造进行攻击 -->
<filter>
	<filter-name>RefererFilter</filter-name>
	<filter-class>com.common.filter.RefererFilter</filter-class>
</filter>
<filter-mapping>
	<filter-name>RefererFilter</filter-name>
	<url-pattern>/*</url-pattern>
</filter-mapping>

本文过滤器是基于比较传统的老项目，内部具体过滤逻辑请根据自己实际项目情况变更。