转载

跨站请求伪造CSRF防护方法

CSRF(Cross-site request forgery跨站请求伪造，也被称成为“one click attack”或者session riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。

（一）CSRF攻击原理

CSRF攻击原理比较简单，如图所示。其中Web A为存在CSRF漏洞的网站，Web B为攻击者构建的恶意网站，User C为Web A网站的合法用户。跨站请求伪造CSRF防护方法

①用户C打开浏览器，访问受信任网站A，输入用户名和密码请求登录网站A;

②在用户信息通过验证后，网站A产生Cookie信息并返回给浏览器，此时用户登录网站A成功，可以正常发送请求到网站A;

③用户未退出网站A之前，在同一浏览器中，打开一个TAB页访问网站B;

④网站B接收到用户请求后，返回一些攻击性代码，并发出一个请求要求访问第三方站点A;

⑤浏览器在接收到这些攻击性代码后，根据网站B的请求，在用户不知情的情况下携带Cookie信息，向网站A发出请求。

⑥网站A并不知道该请求其实是由B发起的，所以会根据用户C的Cookie信息以C的权限处理该请求，导致来自网站B的恶意代码被执行。

（二）CSRF漏洞防御

①验证HTTP Referer字段

根据HTTP协议，在HTTP头中有一个字段叫Referer，它记录了该HTTP请求的来源地址。在通常情况下，访问一个安全受限页面的请求必须来自于同一个网站。比如某银行的转账是通过用户访问http://bank.test/test?page=10&userID=101&money=10000页面完成，用户必须先登录bank.test，然后通过点击页面上的按钮来触发转账事件。当用户提交请求时，该转账请求的Referer值就会是转账按钮所在页面的URL(本例中，通常是以bank. test域名开头的地址)。而如果攻击者要对银行网站实施CSRF攻击，他只能在自己的网站构造请求，当用户通过攻击者的网站发送请求到银行时，该请求的Referer是指向攻击者的网站。因此，要防御CSRF攻击，银行网站只需要对于每一个转账请求验证其Referer值，如果是以bank. test开头的域名，则说明该请求是来自银行网站自己的请求，是合法的。如果Referer是其他网站的话，就有可能是CSRF攻击，则拒绝该请求！

基于上面的方法我们在java中可以采用Filter的方式拦截并做好验证的处理，如下：我们可以编写一个 Filter，并在 web.xml 中对其进行配置，使其对于访问所有需要 CSRF 保护的资源的请求进行拦截！

 // 从 HTTP 头中取得 Referer 值  String referer=request.getHeader("Referer");  // 判断 Referer 是否以 bank.example 开头  if((referer!=null) &&(referer.trim().startsWith(“bank.example”))){     chain.doFilter(request, response);  }else{ request.getRequestDispatcher(“error.jsp”).forward(request,response);  }

以上代码先取得 Referer 值，然后进行判断，当其非空并以 bank.example 开头时，则继续请求，否则的话可能是 CSRF 攻击，转到 error.jsp 页面！

②在请求地址中添加token并验证

CSRF攻击之所以能够成功，是因为攻击者可以伪造用户的请求，该请求中所有的用户验证信息都存在于Cookie中，因此攻击者可以在不知道这些验证信息的情况下直接利用用户自己的Cookie来通过安全验证。由此可知，抵御CSRF攻击的关键在于：在请求中放入攻击者所不能伪造的信息，并且该信息不存在于Cookie之中。鉴于此，系统开发者可以在HTTP请求中以参数的形式加入一个随机产生的token，并在服务器端建立一个拦截器来验证这个token，如果请求中没有token或者token内容不正确，则认为可能是CSRF攻击而拒绝该请求！同样我们可以在 filter 中验证请求中的 token，简单实现如下：

HttpServletRequest req = (HttpServletRequest)request;  HttpSession s = req.getSession();  // 从 session 中得到 csrftoken 属性  String sToken = (String)s.getAttribute(“csrftoken”);  if(sToken == null){     // 产生新的 token 放入 session 中     sToken = generateToken();     s.setAttribute(“csrftoken”,sToken);     chain.doFilter(request, response);  } else{     // 从 HTTP 头中取得 csrftoken     String xhrToken = req.getHeader(“csrftoken”);     // 从请求参数中取得 csrftoken     String pToken = req.getParameter(“csrftoken”);     if(sToken != null && xhrToken != null && sToken.equals(xhrToken)){         chain.doFilter(request, response);     }else if(sToken != null && pToken != null && sToken.equals(pToken)){         chain.doFilter(request, response);     }else{ request.getRequestDispatcher(“error.jsp”).forward(request,response);     }  }

首先判断 session 中有没有 csrftoken，如果没有，则认为是第一次访问，session 是新建立的，这时生成一个新的 token，放于 session 之中，并继续执行请求。如果 session 中已经有 csrftoken，则说明用户已经与服务器之间建立了一个活跃的 session，这时要看这个请求中有没有同时附带这个 token，由于请求可能来自于常规的访问或是 XMLHttpRequest 异步访问，我们分别尝试从请求中获取 csrftoken 参数以及从 HTTP 头中获取 csrftoken 自定义属性并与 session 中的值进行比较，只要有一个地方带有有效 token，就判定请求合法，可以继续执行，否则就转到错误页面。生成 token 有很多种方法，任何的随机算法都可以使用，Java 的 UUID 类也是一个不错的选择！

原文 http://www.cuiyongzhi.com/index.php/post/60.html

正文到此结束