跨站点伪造的形成原理
跨站点伪造的基本原理是客户登陆正确网站后,在同一个浏览器访问危险网站,危险网站窃取客户的cookie后携带该cookie信息访问正确网站,从而获得相应信息,结构如下图
利用过滤器解决跨站点伪造
在请求的报文头中,通常都有一个referer,当浏览器向web服务器发送请求的时候,一般会带上Referer,告诉服务器该网页是从哪个页面链接过来的
我们可以在过滤器中判断请求的referer开头是否与项目配置的请求开头有匹配的,从而过滤掉不被允许访问的来源。具体代码如下
@WebFilter(urlPatterns = "/*", filterName = "csrfFilter")
public class CSRFFilter implements Filter {
private String[] verifyReferer = null;
@Override
public void init(FilterConfig filterConfig) throws ServletException {
Properties properties = new Properties();
InputStream in = CSRFFilter.class.getClassLoader().getResourceAsStream("application.properties");
try {
properties.load(in);
} catch (IOException e) {
e.printStackTrace();
}
final String referer = properties.getProperty("csrf.urls");
this.verifyReferer = referer.split(",");
}
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
HttpServletRequest req = (HttpServletRequest)request;
HttpServletResponse resp = (HttpServletResponse)response;
PrintWriter writer = null;
boolean rflag = false;
String referer = req.getHeader("referer");
for(String vReferer:verifyReferer) {
if(referer==null||referer.trim().startsWith(vReferer)) {
rflag=true;
break;
}
}
if(!rflag) {
System.out.println("跨站点请求伪造!!!");
response.setCharacterEncoding("GBK");
writer = response.getWriter();
writer.print("跨站点请求伪造!!!");
}
chain.doFilter(req,resp);
}
@Override
public void destroy() {
}
}
我们在配置文件application.properties中配置允许访问来源开头,以“,”隔开如下
csrf.urls="http://10.192.168.15,http://www.wangwen12345.com"
此时,如果请求来源为http://10.192.168.15,http://www.wangwen12345.com开头的才能访问,其他网站访问则不行
如果有多个过滤器,可以使用@Order(1)加入每个Filter类开头,用来区分Filter执行顺序,值越小优先级越高
另外注意,配置文件里要配置本网站地址开头