跨站请求CSRF攻击
CSRF(Cross-site request forgery)跨站请求伪造,是一种对网站的恶意利用。尽管听起来像跨站脚本(XSS),但它与XSS非常不同,XSS利用站点内的信任用户,而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比,CSRF攻击往往不大流行(因此对其进行防范的资源也相当稀少)和难以防范,所以被认为比XSS更具危险性。
1. CSRF是什么
CSRF
(Cross-site request forgery)跨站请求伪造,也被称为One Click Attack
或者Session Riding
,通常缩写为CSRF
或者XSRF
,是一种对网站的恶意利用。尽管听起来像跨站脚本(XSS),但它与XSS
非常不同,XSS
利用站点内的信任用户,而CSRF
则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS
攻击相比,CSRF
攻击往往不大流行(因此对其进行防范的资源也相当稀少)和难以防范,所以被认为比XSS
更具危险性。
可以这样来理解:
攻击者盗用了你的身份,以你的名义发送恶意请求,对服务器来说这个请求是完全合法的,但是却完成了攻击者所期望的一个操作,比如以你的名义发送邮件、发消息,盗取你的账号,添加系统管理员,甚至于购买商品、虚拟货币转账等。如下:其中Web A为存在CSRF漏洞的网站,Web B为攻击者构建的恶意网站,User C为Web A网站的合法用户。
2. CSRF攻击原理
如下图:
从上图可以看出,要完成一次CSRF攻击,受害者必须依次完成两个步骤:
- 登录受信任网站A,并在本地生成
Cookie
。 - 在不登出A的情况下,访问危险网站B。
看到这里,你也许会说:“如果我不满足以上两个条件中的一个,我就不会受到CSRF
的攻击”。是的,确实如此,但你不能保证以下情况不会发生:
- 你不能保证你登录了一个网站后,不再打开一个tab页面并访问另外的网站。
- 你不能保证你关闭浏览器了后,你本地的
Cookie
立刻过期,你上次的会话已经结束。(事实上,关闭浏览器不能结束一个会话,但大多数人都会错误的认为关闭浏览器就等于退出登录/结束会话了......) - 上图中所谓的攻击网站,可能是一个存在其他漏洞的可信任的经常被人访问的网站。
3. CSRF攻击防范
目前防御 CSRF 攻击主要有三种策略:验证HTTP Referer
字段;在请求地址中添加token
并验证;在HTTP
头中自定义属性并验证。
验证HTTP Referer
字段
根据HTTP
协议,在HTTP
头中有一个字段叫Referer
,它记录了该HTTP
请求的来源地址。在通常情况下,访问一个安全受限页面的请求来自于同一个网站,比如需要访问http://bank.example/withdraw?account=bob&amount=1000000&for=Mallory
用户必须先登陆bank.example
,然后通过点击页面上的按钮来触发转账事件。这时,该转帐请求的 Referer 值就会是转账按钮所在的页面的 URL,通常是以bank.example
域名开头的地址。而如果黑客要对银行网站实施CSRF
攻击,他只能在他自己的网站构造请求,当用户通过黑客的网站发送请求到银行时,该请求的Referer
是指向黑客自己的网站。因此,要防御CSRF
攻击,银行网站只需要对于每一个转账请求验证其Referer
值,如果是以bank.example
开头的域名,则说明该请求是来自银行网站自己的请求,是合法的。如果Referer
是其他网站的话,则有可能是黑客的CSRF
攻击,拒绝该请求。
然而,这种方法并非万无一失。Referer
的值是由浏览器提供的,虽然HTTP
协议上有明确的要求,但是每个浏览器对于Referer
的具体实现可能有差别,并不能保证浏览器自身没有安全漏洞。使用验证Referer
值的方法,就是把安全性都依赖于第三方(即浏览器)来保障,从理论上来讲,这样并不安全。事实上,对于某些浏览器,比如IE6
或FF2
,目前已经有一些方法可以篡改Referer
值。如果bank.example
网站支持 IE6 浏览器,黑客完全可以把用户浏览器的Referer
值设为以 bank.example 域名开头的地址,这样就可以通过验证,从而进行CSRF
攻击。
即便是使用最新的浏览器,黑客无法篡改Referer
值,这种方法仍然有问题。因为Referer
值会记录下用户的访问来源,有些用户认为这样会侵犯到他们自己的隐私权,特别是有些组织担心Referer
值会把组织内网中的某些信息泄露到外网中。因此,用户自己可以设置浏览器使其在发送请求时不再提供Referer
。当他们正常访问银行网站时,网站会因为请求没有Referer
值而认为是CSRF
攻击,拒绝合法用户的访问。
在请求地址中添加token
并验证
CSRF
攻击之所以能够成功,是因为黑客可以完全伪造用户的请求,该请求中所有的用户验证信息都是存在于cookie
中,因此黑客可以在不知道这些验证信息的情况下直接利用用户自己的cookie
来通过安全验证。要抵御CSRF
,关键在于在请求中放入黑客所不能伪造的信息,并且该信息不存在于cookie
之中。可以在HTTP
请求中以参数的形式加入一个随机产生的token
,并在服务器端建立一个拦截器来验证这个token
,如果请求中没有token
或者token
内容不正确,则认为可能是CSRF
攻击而拒绝该请求。
这种方法要比检查Referer
要安全一些,token
可以在用户登陆后产生并放于session
之中,然后在每次请求时把token
从session
中拿出,与请求中的token
进行比对,但这种方法的难点在于如何把token
以参数的形式加入请求。对于 GET 请求,token
将附在请求地址之后,这样 URL 就变成http://url?csrftoken=tokenvalue
。 而对于 POST 请求来说,要在form
的最后加上<input type="hidden" name="csrftoken" value="tokenvalue" />
,这样就把token
以参数的形式加入请求了。但是,在一个网站中,可以接受请求的地方非常多,要对于每一个请求都加上 token 是很麻烦的,并且很容易漏掉,通常使用的方法就是在每次页面加载时,使用 javascript 遍历整个 dom 树,对于 dom 中所有的 a 和 form 标签后加入token
。这样可以解决大部分的请求,但是对于在页面加载之后动态生成的 html 代码,这种方法就没有作用,还需要程序员在编码时手动添加token
。
该方法还有一个缺点是难以保证token
本身的安全。特别是在一些论坛之类支持用户自己发表内容的网站,黑客可以在上面发布自己个人网站的地址。由于系统也会在这个地址后面加上token
,黑客可以在自己的网站上得到这个token
,并马上就可以发动CSRF
攻击。为了避免这一点,系统可以在添加token
的时候增加一个判断,如果这个链接是链到自己本站的,就在后面添加token
,如果是通向外网则不加。不过,即使这个csrftoken
不以参数的形式附加在请求之中,黑客的网站也同样可以通过Referer
来得到这个token
值以发动CSRF
攻击。这也是一些用户喜欢手动关闭浏览器Referer
功能的原因。
在HTTP头中自定义属性并验证
这种方法也是使用token
并进行验证,和上一种方法不同的是,这里并不是把token
以参数的形式置于 HTTP 请求之中,而是把它放到HTTP
头中自定义的属性里。通过XMLHttpRequest
这个类,可以一次性给所有该类请求加上csrftoken
这个HTTP
头属性,并把token
值放入其中。这样解决了上种方法在请求中加入token
的不便,同时,通过XMLHttpRequest
请求的地址不会被记录到浏览器的地址栏,也不用担心token
会透过Referer
泄露到其他网站中去。