网络安全初探CSRF攻击方式防御手段

• 攻击一般发起在第三方网站&＃xff0c;而不是被攻击的网站。被攻击的网站无法防止攻击发生。
• 攻击利用受害者在被攻击网站的登录凭证&＃xff0c;冒充受害者提交操作&＃xff1b;而不是直接窃取数据。
• 整个过程攻击者并不能获取到受害者的登录凭证&＃xff0c;仅仅是“冒用”。
• 跨站请求可以用各种方式&＃xff1a;图片URL、超链接、CORS、Form提交等等。部分请求方式可以直接嵌入在第三方论坛、文章中&＃xff0c;难以进行追踪。
• CSRF通常是跨域的&＃xff0c;因为外域通常更容易被攻击者掌控。但是如果本域下有容易被利用的功能&＃xff0c;比如可以发图和链接的论坛和评论区&＃xff0c;攻击可以直接在本域下进行&＃xff0c;而且这种攻击更加危险。

CSRF通常从第三方网站发起&＃xff0c;被攻击的网站无法防止攻击发生&＃xff0c;只能通过增强自己网站针对CSRF的防护能力来提升安全性。

• 阻止不明外域的访问
  • 同源检测
  • Samesite COOKIE
• 提交时要求附加本域才能获取的信息
  • CSRF Token
  • 双重COOKIE验证

1.同源检测

CSRF大多来自第三方网站&＃xff0c;那么我们就直接禁止外域&＃xff08;或者不受信任的域名&＃xff09;对我们发起请求。

Origin Header和Referer Header

在HTTP协议中&＃xff0c;每一个异步请求都会携带两个Header&＃xff0c;用于标记来源域名&＃xff1a;

• Origin Header
• Referer Header
  这两个Header在浏览器发起请求时&＃xff0c;大多数情况会自动带上&＃xff0c;并且不能由前端自定义内容。 服务器可以通过解析这两个Header中的域名&＃xff0c;确定请求的来源域。

如果Origin和Referer都不存在&＃xff0c;建议直接进行阻止&＃xff0c;特别是没有使用随机CSRF Token作为第二次检查的清空下。

Samesite COOKIE属性

防止CSRF攻击的办法已经有上面的预防措施。为了从源头上解决这个问题&＃xff0c;Google起草了一份草案来改进HTTP协议&＃xff0c;那就是为Set-COOKIE响应头新增Samesite属性&＃xff0c;它用来标明这个 COOKIE是个“同站 COOKIE”&＃xff0c;同站COOKIE只能作为第一方COOKIE&＃xff0c;不能作为第三方COOKIE&＃xff0c;Samesite 有两个属性值&＃xff0c;分别是 Strict 和 Lax。

Samesite&＃61;Strict&＃xff1a;
这种称为严格模式&＃xff0c;表明这个 COOKIE 在任何情况下都不可能作为第三方 COOKIE&＃xff0c;绝无例外。比如说 b.com 设置了如下 COOKIE&＃xff1a;

Set-COOKIE: foo&＃61;1; Samesite&＃61;Strict
Set-COOKIE: bar&＃61;2; Samesite&＃61;Lax
Set-COOKIE: baz&＃61;3


我们在 a.com 下发起对 b.com 的任意请求&＃xff0c;foo 这个 COOKIE 都不会被包含在 COOKIE 请求头中&＃xff0c;但 bar 会。举个实际的例子就是&＃xff0c;假如淘宝网站用来识别用户登录与否的 COOKIE 被设置成了 Samesite&＃61;Strict&＃xff0c;那么用户从百度搜索页面甚至天猫页面的链接点击进入淘宝后&＃xff0c;淘宝都不会是登录状态&＃xff0c;因为淘宝的服务器不会接受到那个 COOKIE&＃xff0c;其它网站发起的对淘宝的任意请求都不会带上那个 COOKIE。

2.提交时要求附加本域

CSRF Token

CSRF&＃xff0c;攻击者无法直接窃取到用户的信息&＃xff08;COOKIE&＃xff0c;Header&＃xff0c;网站内容等&＃xff09;&＃xff0c;仅仅是冒用COOKIE中的信息。

而CSRF攻击之所以能够成功&＃xff0c;是因为服务器误把攻击者发送的请求当成了用户自己的请求。那么我们可以要求所有的用户请求都携带一个CSRF攻击者无法获取到的Token。服务器通过校验请求是否携带正确的Token&＃xff0c;来把正常的请求和攻击的请求区分开&＃xff0c;也可以防范CSRF的攻击。
原理:
1.将CSRF Token输出到页面中

2.页面提交的请求携带这个Token

3.服务器验证Token是否正确

因为COOKIE采取同源策略&＃xff0c;只有相同域名的网页才能获取域名对应的COOKIE&＃xff0c;别的网站获取不到COOKIE里面的token

双重COOKIE验证

利用CSRF攻击不能获取到用户COOKIE的特点&＃xff0c;我们可以要求Ajax和表单请求携带一个COOKIE中的值。

流程&＃xff1a;

1. 在用户访问网站页面时&＃xff0c;向请求域名注入一个COOKIE&＃xff0c;内容为随机字符串&＃xff08;例如csrfCOOKIE&＃61;v8g9e4ksfhw&＃xff09;。
2. 在前端向后端发起请求时&＃xff0c;取出COOKIE&＃xff0c;并添加到URL的参数中&＃xff08;接上例POST https://www.a.com/comment?csrfCOOKIE&＃61;v8g9e4ksfhw&＃xff09;。
3. 后端接口验证COOKIE中的字段与URL参数中的字段是否一致&＃xff0c;不一致则拒绝。

本文链接https://blog.csdn.net/qq_39903567/article/details/117037413

参考&＃xff1a;
https://tech.meituan.com/2018/10/11/fe-security-csrf.html