网络安全学习笔记——CSRF攻击

Nosery

已于 2022-11-23 19:34:35 修改

阅读量1.1k

点赞数

分类专栏：网络安全文章标签：安全学习

于 2022-11-23 19:34:28 首次发布

本文链接：https://blog.csdn.net/weixin_72324806/article/details/127989625

版权

41 篇文章 2 订阅

订阅专栏

如果错过互联网,与你擦肩而过的不仅仅是机会,而是整整一个时代。

CSRF（Cross-Site Request Forgery）跨站请求伪造，通常缩写为 CSRF 或者 XSRF。是一种通过网站对用户网页浏览器的信任，使用户在当前已登录的Web程序上执行非本意的操作的攻击方法。

跨站请求攻击是攻击者利用一些技术手段欺骗用户访问已经认证过的网站，让网站以为是用户在进行操作。虽然攻击者无法直接获取用户账户的控制权，也不能窃取任何的账户信息，但可以欺骗浏览器，让其以用户的名义进行操作。如以用户的名义发邮件，发消息，盗取用户账号，甚至购买物品，转账等。

此攻击实现的主要的原因就是：简单的身份验证只是验证了浏览器的身份，并没有验证操作者的身份。攻击一般会在仅使用 cookie 进行会话管理和仅依靠 HTTP 认证，SSL 客户端证书，手机的移动 ID 来识别用户的网站出现。只要点击恶意链接或者浏览恶意网站就会触发 CSRF 攻击。

此类攻击是修改 GET 请求实现的，通过在网站中的 img 标签里构建一个请求，当用户打开这个网站的时候就会自动提交这个请求。

POST 型是通过构建一个表单并隐形，用户进入这个界面的时候，自动提交这个表单。

在链接的 a 标签的 href 属性中构建一个请求，诱使用户去点击这个链接。

CSRF 攻击多数情况下发起于第三方网站，少数发起于本站，如评论区等；且攻击对象必须是登陆状态；个人信息不会被窃取，而是冒用；CSRF 攻击手段多样化，可通过 URL，CORS 等发起攻击。

限制 GET 因为 GET 接口的 img 标签太容易被攻击，所以应尽量使用 POST，虽然 POST 也不是万无一失的，但可以降低被攻击的风险。

设置 cookie CSRF 攻击很大程度上是利用了浏览器的 cookie，为了防止站内的 XSS 漏洞窃取cookie，需要在cookie中设置 “HTTPOnly” 属性，避免伪造 cookie 的情况。

增加 token 通过在 HTTP 请求参数中加入一个随机产生的 token，并在服务器端进行校验，如果 token 信息异常则拒绝该请求。

识别 referer HTTP 头中的字段 referer 可以判断出来该请求头的来源，验证请求头的来源是否是来自自己的，如果不是则拒绝该请求。

在网站上登录之后，及时登出也能在一定程度上避免 CSRF 攻击。还可在涉及隐私的操作上，验证密码；禁止用户上传 HTML 页面等内容到服务器；对用户上传的图片进行转存或校验等。在论坛上会发出外链跳转警告，同样也是为了防范 CSRF 攻击。

CSRF 被安全界称为“沉睡的巨人”。HackerOne报告启示录（CSRF篇） - FreeBuf网络安全行业门户

关注