跳至主要內容

CSRF漏洞

沐沐2024年12月11日WebSecurityCSRF约 2644 字大约 9 分钟

CSRF漏洞

CSRF (Cross-site request forgery，跨站请求伪造)也被称为One Click Attack或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。
尽管听起来像跨站脚本(XSS)，但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装成受信任用户请求受信任的网站。

CSRF攻击原理及过程

CSRF为什么能够攻击成功? 其本质原因是重要操作的所有参数都是可以被攻击者猜测到的。
攻击者只有预测出URL的所有参数与参数值，才能成功地构造一个伪造的请求;反之，攻击者将无法攻击成功。

存在CSRF攻击的可能性必须同时满足两个条件：

  • 登录受信任网站，并在本地生成Cookie。
  • 在不登出受信任网站的情况下，访问危险网站，并模拟参数进行请求攻击。

CSRF(Cross-Site Request Forgery)，跟XSS漏洞攻击一样，存在巨大的危害性。
因为攻击者盗用了信任网站的身份，以信任网站的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以信任网站的名义发送邮件、发消息，盗取账号，添加系统管理员，甚至于购买商品、虚拟货币转账等。

CSRF分类

GET类型的CSRF

仅仅须要一个HTTP请求。就能够构造一次简单的CSRF。

场景举例

购物网站：该网站的API设计中，有一个接口以GET请求来完成用户银行卡号的更新，无其他校验。如：http://www.shop.com/updatecard?cardno=xxxxxx&userId=xx。

在存在漏洞的危险站点，有一段HTML的代码， 例如：<img src=http://www.shop.com/updatecard?cardno=xxxxxx&userId=xx>。

首先。你登录了购物网站，然后访问危险站点，这时你会发现你的银行卡账号变了。
因为你的浏览器会带上你的购物网站的Cookie发出Get请求，去获取资源以GET的方式请求第三方资源（这里的第三方就是指购物网站了）。

这就是一个最简单、最直白、当然也最不可能出现的CSRF攻击。但用于给大家讲清楚它的原理，是最适合的。

大多数CSRF攻击发起时，使用的HTML <image>、<iframe>、<script> 等带 src 属性的标签，这类标签只能够发起一次GET请求，而不能发起POST请求。

POST类型的CSRF

然而，如果服务端应用的API接口设计并未严格地区分GET与POST，攻击者可以使用GET来请求API接口/表单的提交地址。

比如:

  • 在PHP中，如果使用的是 $_REQUEST，而非 $_POST 获取变量，则会存在这个问题。
  • 在HTML的表单中如果存在如下代码：
<form action="/register" id="register" method="post" >
    <input type=text name="username" value="" />
    <input type=password name="password" value="" />
    <input type=submit name="submit" value="submit" />
</form>

用户可尝试构造一个GET请求 http: //host/register?username=test&password=passwd 来提交，若服务器端未对请求方法进行限制，则这个请求会通过。

  • 如果服务器端已经区分了GET与POST, 对于攻击者来说，仍然有若干种方法可以构造出一个看起来合理的POST请求。
    比如在一个页面中构造好一个表单表单，然后使用JavaScript自动提交这个表单。比如，攻击者在 www.b.com/test.html 中编写如下代码
<form action="http://www.a.com/register" id="register" method="post" >
    <input type=text name="username" value=""/>
    <input type=password name="password" value=""/>
    <input type=submit name="submit" value="submit"/>
</form>
<script>
    var f = document.getElementById ( "register");
    f.inputs [0].value = "test";
    f.inputs [1].value = "passwd" ;
    f.submit ();
</script>

攻击者甚至可以将这个页面隐藏在一个不可见的iframe窗口中，那么整个自动提交表单的过程，对于用户来说也是不可见的。

CSRF漏洞的发现与挖掘

  • 抓取一个正常请求的数据包，如果没有Referer字段和token，那么极有可能存在CSRF漏洞。
  • 如果有Referer字段，但是去掉Referer字段后再重新提交，如果该提交还有效，那么基本上可以确定存在CSRF漏洞。
  • 随着对CSRF漏洞研究的不断深入，不断涌现出一些专门针对CSRF漏洞进行检测的工具，如CSRFTester，CSRF Request Builder等。
    • 以CSRFTester工具为例，CSRF漏洞检测工具的测试原理如下:使用CSRFTester进行测试时，首先需要抓取我们在浏览器中访问过的所有链接以及所有的表单等信息，然后通过在CSRFTester中修改相应的表单等信息，重新提交，这相当于一次伪造客户端请求。
    • 如果修改后的测试请求成功被网站服务器接受，则说明存在CSRF漏洞，当然此款工具也可以被用来进行CSRF攻击。

CSRF漏洞的防御

  1. 验证码
    验证码被认为是对抗CSRF攻击最简洁而有效的防御方法。

CSRF攻击的过程，往往是在用户不知情的情况下构造了网络请求。而验证码，则强制用户必须与应用进行交互，才能完成最终请求。因此在通常情况下，验证码能够很好地遏制CSRF攻击。
但是验证码并非万能。很多时候，出于用户体验考虑，网站不能给所有的操作都加上验证码。因此，验证码只能作为防御CSRF的一种辅助手段，而不能作为最主要的解决方案。

  1. 在请求地址中添加 token 并验证
    CSRF 攻击之所以能够成功，是因为黑客可以完全伪造用户的请求，该请求中所有的用户验证信息都是存在于 cookie 中，因此黑客可以在不知道这些验证信息的情况下直接利用用户自己的 cookie 来通过安全验证。
    要抵御 CSRF关键在于在请求中放入黑客所不能伪造的信息，并且该信息不存在于 cookie 之中。

可以在 HTTP/HTTPS 请求中以参数的形式加入一个随机产生的 token，并在服务器端建立一个拦截器来验证这token，如果请求中没有 token 或者 token 内容不正确，则认为可能是 CSRF 攻击而拒绝该请求。

这种方法要比检查 Referer要安全一些，token 可以在用户登陆后产生并放于 session 之中，然后在每次请求时把 token 从 session 中拿出，与请求中的 token 进行比对，但这种方法的难点在于如何把 token 以参数的形式加入请求。

对于 GET 请求，token 将附在请求地址之后，这样 URL 就变成 http://url?csrftoken=tokenvalue。 而对于 POST 请求来说，要在 form 的最后加上 ，这样就把 token 以参数的形式加入请求了。

该方法的缺点：
难以保证 token 本身的安全。特别是在一些论坛之类支持用户自己发表内容的网站，黑客可以在上面发布自己个人网站的地址。由于系统也会在这个地址后面加上 token，黑客可以在自己的网站上得到这个 token，并马上就可以发动 CSRF 攻击。

为了避免这一点，系统可以在添加 token 的时候增加一个判断，如果这个链接是链到自己本站的，就在后面添加 token，如果是通向外网则不加。

  1. 在 HTTP 头中自定义属性并验证
    这种方法也是使用 token 并进行验证，和上一种方法不同的是，这里并不是把 token 以参数的形式置于 HTTP 请求之中，而是把它放到 HTTP 头中自定义的属性里。
    通过 XMLHttpRequest 这个类，可以一次性给所有该类请求加上 csrftoken 这个 HTTP 头属性，并把 token 值放入其中。

这样解决了上种方法在请求中加入 token 的不便，同时，通过XMLHttpRequest 请求的地址不会被记录到浏览器的地址栏，也不用担心 token 会透过 Referer 泄露到其他网站中去。

提示

然而这种方法的局限性非常大，XMLHttpRequest 请求通常用于 Ajax 方法中对于页面局部的异步刷新，并非所有的请求都适合用这个类来发起，而且通过该类请求得到的页面不能被浏览器所记录下，从而进行前进，后退，刷新，收藏等操作，给用户带来不便。

  1. 验证 HTTP Referer 字段
    根据 HTTP 协议，在 HTTP 头中有一个字段叫Referer，它记录了该 HTTP 请求的来源地址。
    在通常情况下，访问一个安全受限页面的请求来自于同一个网站。

因此，要防御 CSRF 攻击，应用网站只需要对于每一个转账请求验证其 Referer 值，如果是以应用网站自己的域名(如a.example)开头的域名，则说明该请求是来自银行网站自己的请求，是合法的。如果 Referer 是其他网站的话，则有可能是黑客的 CSRF 攻击，拒绝该请求。

这种方法的显而易见的好处就是简单易行，网站的普通开发人员不需要操心 CSRF 的漏洞，只需要在最后给所有安全敏感的请求统一增加一个拦截器来检查 Referer 的值就可以。
特别是对于当前现有的系统，不需要改变当前系统的任何已有代码和逻辑，没有风险，非常便捷。

然而，这种方法并非万无一失。Referer 的值是由浏览器提供的，虽然 HTTP 协议上有明确的要求，但是每个浏览器对于 Referer 的具体实现可能有差别，并不能保证浏览器自身没有安全漏洞。

写在最后

CSRF攻击是攻击者利用用户的身份操作用户账户的一种攻击方式。
设计CSRF的防御方案必须先理解CSRF攻击的原理和本质。
我们通常使用Anti CSRF Token来防御CSRF攻击，在使用Token时，要注意Token的保密性和随机性。

上次编辑于: 2024/12/11 11:54:45
贡献者: yueny