一、CSRF概念篇
“图难于其易，为大于其细。天下难事，必作于易；天下大事，必作于细"出自老子的《道德经》，韩非在《韩非子-喻老》篇也曾提到过。这句话大概意思是解决难事要从简单方面入手，做大事情要从细微角度着手。Web系统安全亦是如此，CSRF攻击已出现多年，安全从业者也提供了许多有针对性的解决方案。但实际项目开发工作中，除了一些资深开发工程师，大部分程序开发人员对CSRF的具体攻击形式与原理理解还不够深入。本文将以Java Web项目的代码实现角度分析CSRF攻击，希望对web开发者有一定的启发作用。
CSRF（Cross-site request forgery）中文名称为"跨站请求伪造”。CSRF攻击形式其实很简单，正因为它的简单反而容易被人忽视，因此它的危害非常巨大。其攻击形式为:用户（USER）首先登录一正常网站(Normal Website)，正常网站向用户浏览器发送cookie信息，此时用户还未注销登录信息。然后用户又打开浏览器另一标签页(tab)访问了一个恶意网站(Malicious Website)，Malicious Website会自动构造指向Normal Website的恶意HTTP请求(更新、删除、添加您的重要信息)。其中恶意HTTP请求是有Malicious Website来提交的(包括用户点击)，理解这一点对于分析CSRF攻击十分重要，下文会对这一点其进行分析。
二、CSRF攻击篇
上图具体描述了CSRF的攻击过程，CSRF涉及到三种角色:用户(User)、正常网站(NW)、恶意网站(MW)。其中恶意网站可能是存在某些Web漏洞的网站，它已经被黑客获得了权限，可以自由构造CSRF攻击页面内容。一旦用户满足上图的过程，将不可避免遭受CSRF攻击。下面以一个bbs系统为例，相信大家一定在bbs上发过帖子，用户可以发布帖子、删除帖子、修改贴子。
例子1：假设bbs系统以HTTP GET请求方式来删除帖子，攻击者在恶意网站加入以下HTML代码段
<img src="http://www.mybbs.com/del_forum_posts.do?id=1234"/>例子2：为解决上面的问题，bbs程序员将删除帖子的方式改用POST表单提交方式。
<form action="del_forum_posts.do" mehtod="post">
<input name="id" value="1234"/>
<input type="submit" value="submit"/>
</form>实际上前端页面改用POST方式还是会存在两个问题，一是ava后端程序员如果编写Servlet或者SpringMVC控制器中时没有很好地区分出POST与GET请求时，那么以request.getAttribute()或者request.getParameter()方式获取客户单请求参数，那么还是无法判断出请求是来自POST还是GET的；假设不存在第一个问题，那是不是真的就不存在问题了呢。哈哈，程序员很自信也很聪明，可攻击者也不傻呀，你在页面改用POST请求，那么攻击者在恶意页面中也可以改用POST方式，正所谓以其人之道还治其人之身。
<script language="JavaScript" type="text/javascript">
function autoSubmit() {
document.forms['myForm'].submit();
}
</script>
<body οnlοad="autoSubmit()">
<form id="myForm" name="myForm" action="del_forum_posts.do" mehtod="post">
<input name="id" value="1234"/> </form>
</body>那么到底要如何来防御呢？吴翰清在《白帽子讲WEB安全》提到，使信息具有不可预测性是保证系统安全的一个重要特性。CSRF攻击发起者能够预测到发动攻击所需的参数以及请求方式，如本文例子中攻击者能够预测出表单id的值，HTTP请求方式无非就是POST、GET、PUT、DELETE。基于不可预测性的理论，我们可以在表单中加入一个随机数，那么攻击者就没办法预测出了呀。
目前一般提供两种方式防御CSRF攻击，一是在每个表单提交处增加验证码，但使用验证码对于使用用户来说是比较难以接受的。每个表单都需要填验证码，用户会奔溃的。二是每个表单提交处提供不同的随机参数(TOKEN)。
CSRF是一种奇怪的Web攻击方式，实际上还存在一种基于Referer Check的检测方式。Referer Check能够防御CSRF的原因是它能够检查请求是否来自合法的服务器。它有一个明显的缺陷是，服务端并非都是可以取到Referer信息，因为很多浏览器出于信息安全考虑会阻止发送Referer信息。网易微博曾经存在该问题，可参考乌云地址:点击打开链接
CSRF基本上只针对增删改操作，读操作对于攻击者基本没有什么意义(CSRF攻击对于攻击者来讲攻击的流程是透明的，他不能得到服务器的Response信息)，所以Java开发者在编写程序时要制定符合HTTP协议的规范：GET请求用于获取数据 ，POST请求用于修改数据。常用POST提交有表单(Form)和AJAX两种方式，表单可以通过增加一个隐藏域
<input type=’hidden’ name=’token’ value=’token值’>后端MVC框架若是采用SpringMVC，客户端每次向Springmvc发送请求时(*.do,*.jhtml等)，Springmvc后台可以设置一个全局拦截器，可以产生一个随机数token(在Java中可以使用方法UUID.randomUUID.toString())，以cookie形式发送到客户端。
假如前端Post表单请求是由于伪造网站来提交的，一般不存在hidden隐藏域 token,即使在页面中增加hidden token,它也没办法获取cookie中的随机token值,并且由于token是随机的也很难猜测出来。
假如前端Post过来的AJAX请求是有伪造网站提交过来的，一般不存在header 请求头token,即使在请求头中加入header token, 它也是没办法获取cookie中的随机token值, 并且由于token是随机的也很难猜测出来。
被攻击的网站是可以带上cookie，但是恶意网站是没办法获取cookie，当然是假设不存在其他XSS漏洞可以获取cookie的前提下。Forgery Request里面没有hidden token。
三、CSRF防御篇
当用户访问正常网站时，该站点会生成一个随机数的cookie值，Java语言可以采用UUID.randomUUID.toString()方式生成一个随机值。每次用户提交POST请求时需要带上这个随机数token，问题来了要怎么带呢?我们知道客户端发送请求一般有表单和AJAX方式：(1) 如果是表单提交方式需要在每次提交之前向表单增加一个包含token值得隐藏域，其中getCookie用于获取客户端cookie值
$("#myForm").submit(function(){
if($(this).attr("method") != null && $(this).attr("method").toUpperCase() == "POST" && $(this).find("input[name=csrf_token]").size() == 0) {
var token = getCookie("csrf_token");
$(this).append("<input type='hidden' name='csrf_token' value='"+token+"'/>");
}
});
$(document).ajaxSend(function(event, request, option) {
if (!option.crossDomain && sett.type != null && option.type.toLowerCase() == "post") {
var token = getCookie("token");
if (token != null) {
request.setRequestHeader("csrf_token", token);
}
}
});这里以SpringMVC制器框架为例，分析服务器后端如何对CSRF进行校验防御。SpringMVC提供类似Filter功能的拦截器，但功能更加强大。SpringMVC不仅实现了Filter的所有功能，并提供更加细化的过滤拦截功能。
org.springframework.web.servlet.handler.HandlerInterceptorAdapterHandlerInterceptorAdapter是SpringMVC提供的拦截器适配器类，继承此类可能实现各种时机的拦截功能。
/**
* Abstract adapter class for the HandlerInterceptor interface,
* for simplified implementation of pre-only/post-only interceptors.
*
* @author Juergen Hoeller
* @since 05.12.2003
*/
public abstract class HandlerInterceptorAdapter implements AsyncHandlerInterceptor {
/**
* This implementation always returns {@code true}.
*/
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)
throws Exception {
return true;
}
/**
* This implementation is empty.
*/
public void postHandle(
HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView)
throws Exception {
}
/**
* This implementation is empty.
*/
public void afterCompletion(
HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex)
throws Exception {
}
/**
* This implementation is empty.
*/
public void afterConcurrentHandlingStarted(
HttpServletRequest request, HttpServletResponse response, Object handler)
throws Exception {
}
}JAVA后端验证代码，首先判断请求方式是否为POST方式，
(1) 若为POST请求方式， 则判断是否为AJAX POST请求方式，从requst请求头中取出csrf_token与cookie的token进行比较，值相同表示csrf验证通过
public class CSRFTokenInterceptor extends HandlerInterceptorAdapter {
public boolean preHandle(HttpServletRequest request, HttpServletResponse response,
Object handler) throws IOException {
String token = CookieUtils.getCookie("csrf_token"); //从cookie中读取token
if (request.getMethod().equalsIgnoreCase("POST")) {
String requestType = request.getHeader("X-Requested-With");
//AJAX POST 请求
if (requestType != null && requestType.equalsIgnoreCase("XMLHttpRequest")) {
if (token != null && token.equals(request.getHeader("csrf_token")))
return true;
} else if (token != null && token.equals(request.getParameter("csrf_token"))) {//普通表单POST方法
return true;
}
if (token == null) {
token = UUID.randomUUID().toString();
CookieUtils.addCookie(request, response, "csrf_token", token);
}
//SC_FORBIDDEN，状态码是403，表示服务器明白客户的请求，但拒绝响应
response.sendError(403, "Bad or missing token!");
return false;
}
if (token == null) {
token = UUID.randomUUID().toString();
CookieUtils.addCookie(request, response, "csrf_token", token);
}
//request只有两个页面之间的作用域,不能再传给第3个页面了
//request只能在一次页面传递之间保存数据，超过就会丢失
request.setAttribute("token", token);
return true;
}
}
扫一扫
576
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
