从Java代码实现角度探讨CSRF(未完待续)

最新推荐文章于 2024-07-31 20:44:37 发布

pez1420

最新推荐文章于 2024-07-31 20:44:37 发布

阅读量4.5k

点赞数

分类专栏： Web安全文章标签： CSRF攻击 Java Web安全 SpringMVC Cookie与Session

本文链接：https://blog.csdn.net/lybxttj/article/details/51815893

版权

Web安全专栏收录该内容

1 篇文章 0 订阅

订阅专栏

一、CSRF概念篇

“图难于其易，为大于其细。天下难事，必作于易；天下大事，必作于细"出自老子的《道德经》，韩非在《韩非子-喻老》篇也曾提到过。这句话大概意思是解决难事要从简单方面入手，做大事情要从细微角度着手。Web系统安全亦是如此，CSRF攻击已出现多年，安全从业者也提供了许多有针对性的解决方案。但实际项目开发工作中，除了一些资深开发工程师，大部分程序开发人员对CSRF的具体攻击形式与原理理解还不够深入。本文将以Java Web项目的代码实现角度分析CSRF攻击，希望对web开发者有一定的启发作用。

CSRF（Cross-site request forgery）中文名称为"跨站请求伪造”。CSRF攻击形式其实很简单，正因为它的简单反而容易被人忽视，因此它的危害非常巨大。其攻击形式为:用户（USER）首先登录一正常网站(Normal Website)，正常网站向用户浏览器发送cookie信息，此时用户还未注销登录信息。然后用户又打开浏览器另一标签页(tab)访问了一个恶意网站(Malicious Website)，Malicious Website会自动构造指向Normal Website的恶意HTTP请求(更新、删除、添加您的重要信息)。其中恶意HTTP请求是有Malicious Website来提交的(包括用户点击)，理解这一点对于分析CSRF攻击十分重要，下文会对这一点其进行分析。

二、CSRF攻击篇

上图具体描述了CSRF的攻击过程，CSRF涉及到三种角色:用户(User)、正常网站(NW)、恶意网站(MW)。其中恶意网站可能是存在某些Web漏洞的网站，它已经被黑客获得了权限，可以自由构造CSRF攻击页面内容。一旦用户满足上图的过程，将不可避免遭受CSRF攻击。下面以一个bbs系统为例，相信大家一定在bbs上发过帖子，用户可以发布帖子、删除帖子、修改贴子。

例子1：假设bbs系统以HTTP GET请求方式来删除帖子，攻击者在恶意网站加入以下HTML代码段

     <img src="http://www.mybbs.com/del_forum_posts.do?id=1234"/>

CSRF攻击者在MW中嵌入上述<img>标签，一旦用户访问该网站将导致帖子被删除，显然用户没想过要删除帖子。那有人会问了，既然HTTP GET方式会导致帖子会被删除，那么我改用POST方式不就可以了嘛，嘻嘻我真聪明。

例子2：为解决上面的问题，bbs程序员将删除帖子的方式改用POST表单提交方式。

<form action="del_forum_posts.do" mehtod="post">
    <input name="id" value="1234"/>
    <input type="submit" value="submit"/>
</form>

实际上前端页面改用POST方式还是会存在两个问题，一是ava后端程序员如果编写Servlet或者SpringMVC控制器中时没有很好地区分出POST与GET请求时，那么以request.getAttribute()或者request.getParameter()方式获取客户单请求参数，那么还是无法判断出请求是来自POST还是GET的；假设不存在第一个问题，那是不是真的就不存在问题了呢。哈哈，程序员很自信也很聪明，可攻击者也不傻呀，你在页面改用POST请求，那么攻击者在恶意页面中也可以改用POST方式，正所谓以其人之道还治其人之身。

<script language="JavaScript" type="text/javascript">
    function autoSubmit() {
        document.forms['myForm'].submit();
    }
</script>
    <body οnlοad="autoSubmit()">
        <form id="myForm" name="myForm" action="del_forum_posts.do" mehtod="post"> 
        <input name="id" value="1234"/> </form>
</body>

显然，一旦访问该页面还是会遭受攻击，因此改用POST方式来防御CSRF是治标不治本。

那么到底要如何来防御呢？吴翰清在《白帽子讲WEB安全》提到，使信息具有不可预测性是保证系统安全的一个重要特性。CSRF攻击发起者能够预测到发动攻击所需的参数以及请求方式，如本文例子中攻击者能够预测出表单id的值，HTTP请求方式无非就是POST、GET、PUT、DELETE。基于不可预测性的理论，我们可以在表单中加入一个随机数，那么攻击者就没办法预测出了呀。

目前一般提供两种方式防御CSRF攻击，一是在每个表单提交处增加验证码，但使用验证码对于使用用户来说是比较难以接受的。每个表单都需要填验证码，用户会奔溃的。二是每个表单提交处提供不同的随机参数(TOKEN)。

CSRF是一种奇怪的Web攻击方式，实际上还存在一种基于Referer Check的检测方式。Referer Check能够防御CSRF的原因是它能够检查请求是否来自合法的服务器。它有一个明显的缺陷是，服务端并非都是可以取到Referer信息，因为很多浏览器出于信息安全考虑会阻止发送Referer信息。网易微博曾经存在该问题，可参考乌云地址:点击打开链接

CSRF基本上只针对增删改操作，读操作对于攻击者基本没有什么意义(CSRF攻击对于攻击者来讲攻击的流程是透明的，他不能得到服务器的Response信息)，所以Java开发者在编写程序时要制定符合HTTP协议的规范：GET请求用于获取数据，POST请求用于修改数据。常用POST提交有表单(Form)和AJAX两种方式，表单可以通过增加一个隐藏域

     <input type=’hidden’ name=’token’ value=’token值’>

，AJAX可以通过添加请求头(header)。

后端MVC框架若是采用SpringMVC，客户端每次向Springmvc发送请求时(*.do,*.jhtml等)，Springmvc后台可以设置一个全局拦截器，可以产生一个随机数token(在Java中可以使用方法UUID.randomUUID.toString())，以cookie形式发送到客户端。

假如前端Post表单请求是由于伪造网站来提交的，一般不存在hidden隐藏域 token,即使在页面中增加hidden token,它也没办法获取cookie中的随机token值,并且由于token是随机的也很难猜测出来。

假如前端Post过来的AJAX请求是有伪造网站提交过来的，一般不存在header 请求头token,即使在请求头中加入header token, 它也是没办法获取cookie中的随机token值, 并且由于token是随机的也很难猜测出来。

被攻击的网站是可以带上cookie，但是恶意网站是没办法获取cookie，当然是假设不存在其他XSS漏洞可以获取cookie的前提下。Forgery Request里面没有hidden token。

三、CSRF防御篇

当用户访问正常网站时，该站点会生成一个随机数的cookie值，Java语言可以采用UUID.randomUUID.toString()方式生成一个随机值。每次用户提交POST请求时需要带上这个随机数token，问题来了要怎么带呢?我们知道客户端发送请求一般有表单和AJAX方式：

(1) 如果是表单提交方式需要在每次提交之前向表单增加一个包含token值得隐藏域，其中getCookie用于获取客户端cookie值

$("#myForm").submit(function(){
    if($(this).attr("method") != null && $(this).attr("method").toUpperCase() == "POST" && $(this).find("input[name=csrf_token]").size() == 0) {
    	var token = getCookie("csrf_token");
	$(this).append("<input type='hidden' name='csrf_token' value='"+token+"'/>");
    }	
});

(2)如果是AJAX方式提交，那么我们可以使用 $.ajaxSend()全局回调函数，当AJAX请求即将被发送时以下代码将执行。

    
	$(document).ajaxSend(function(event, request, option) {
		if (!option.crossDomain && sett.type != null && option.type.toLowerCase() == "post") {
			var token = getCookie("token");
			if (token != null) {
				request.setRequestHeader("csrf_token", token);
			}
		}
	});

这里以SpringMVC制器框架为例，分析服务器后端如何对CSRF进行校验防御。SpringMVC提供类似Filter功能的拦截器，但功能更加强大。SpringMVC不仅实现了Filter的所有功能，并提供更加细化的过滤拦截功能。

  org.springframework.web.servlet.handler.HandlerInterceptorAdapter

HandlerInterceptorAdapter是SpringMVC提供的拦截器适配器类，继承此类可能实现各种时机的拦截功能。

/**
 * Abstract adapter class for the HandlerInterceptor interface,
 * for simplified implementation of pre-only/post-only interceptors.
 *
 * @author Juergen Hoeller
 * @since 05.12.2003
 */
public abstract class HandlerInterceptorAdapter implements AsyncHandlerInterceptor {

	/**
	 * This implementation always returns {@code true}.
	 */
	public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)
		throws Exception {
		return true;
	}

	/**
	 * This implementation is empty.
	 */
	public void postHandle(
			HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView)
			throws Exception {
	}

	/**
	 * This implementation is empty.
	 */
	public void afterCompletion(
			HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex)
			throws Exception {
	}

	/**
	 * This implementation is empty.
	 */
	public void afterConcurrentHandlingStarted(
			HttpServletRequest request, HttpServletResponse response, Object handler)
			throws Exception {
	}

}

JAVA后端验证代码，首先判断请求方式是否为POST方式，

(1) 若为POST请求方式，则判断是否为AJAX POST请求方式，从requst请求头中取出csrf_token与cookie的token进行比较，值相同表示csrf验证通过

public class CSRFTokenInterceptor extends HandlerInterceptorAdapter {

	public boolean preHandle(HttpServletRequest request, HttpServletResponse response, 
			Object handler) throws IOException {
		String token = CookieUtils.getCookie("csrf_token"); //从cookie中读取token
		if (request.getMethod().equalsIgnoreCase("POST")) {
			String requestType = request.getHeader("X-Requested-With");
			//AJAX POST 请求
			if (requestType != null && requestType.equalsIgnoreCase("XMLHttpRequest")) {
				if (token != null && token.equals(request.getHeader("csrf_token")))
					return true;
			} else if (token != null && token.equals(request.getParameter("csrf_token"))) {//普通表单POST方法
				return true;
			}

			if (token == null) {
				token = UUID.randomUUID().toString();
				CookieUtils.addCookie(request, response, "csrf_token", token);
			}
			//SC_FORBIDDEN，状态码是403，表示服务器明白客户的请求，但拒绝响应
			response.sendError(403, "Bad or missing token!");
			return false;
		}

		
		if (token == null) {
			token = UUID.randomUUID().toString();
			CookieUtils.addCookie(request, response, "csrf_token", token);
		}

		//request只有两个页面之间的作用域,不能再传给第3个页面了
		//request只能在一次页面传递之间保存数据，超过就会丢失
		request.setAttribute("token", token);
		return true;
	}
}

四、CSRF代码篇

pez1420

关注

0
点赞
踩
4

收藏

觉得还不错? 一键收藏
0
评论
从Java代码实现角度探讨CSRF(未完待续)

“图难于其易，为大于其细。天下难事，必作于易；天下大事，必作于细"，出自老子的《道德经》以及韩非的《韩非子-喻老》。这句话大概意思是解决难事要从简单方面入手，做大事情要从细微角度着手。Web系统安全亦是如此，CSRF攻击已出现多年，安全从业者也提供了许多有针对性的解决方案。实际项目开发工作中，除了一些资深开发工程师，大部分程序开发人员对CSRF的具体攻击形式与原理理解还不够深入。本文将以Java
复制链接

扫一扫

专栏目录