转载

OWASP Top 10(2013) 第六篇之 A8 – 跨站点请求伪造（CSRF）

A8 - 跨站点请求伪造

跨站点请求伪造是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法，简单说就是用户在浏览网站1.com的时候，里面含有一些恶意内容，在用户不知情的情况下访问了网站2.com，从而不知不觉的进行了一些恶意操作。

在网上找了张图片很能说明这个过程：

首先，用户正常访问某一服务器的网站，成功登陆系统，生成了会话cookie，并保持会话在有效状态；然后到了第4步的时候，用户通过邮件或者IM等方式，收到了具有恶意代码的攻击网址，当用户点击此攻击页面时，攻击者通过利用 html标签img，script，iframe等元素的src属性，使用户在不知情的情况下，发起对正常site的恶意访问，当点击完成后，也就是在图中第5步时，恶意代码已经执行完毕，攻击就发生且完成。

上面说过了攻击原理之后，我们来说说如何防止这种不知情情况下就发生的攻击呢？一般有如下几种方式：

1、使用cookie的httponly属性，httponly属性可以阻止客户端JavaScript脚本来读取用户的cookie信息，从而保证数据的安全性。

2、检查请求的Referer，Referer Check用来检验请求是否来自合法的源头，因为在互联网Web应用中，页面与页面之间都有一定的逻辑关系，使得每个正常请求都有一定的规律，一般是可以通过HTTP请求的头部获取Referer信息，通过判断该值是可以识别出来有可能是CSRF请求。但是这样会使得编码相对复杂一些，同时，服务一并不一定可以获取其值，有些用户或浏览器处于隐私保护或安全的目的，会禁用Referer信息得发送，所以这种方法是一种可行的方法，但并不是一种可以依赖的防御CSRF的手段。

3、采用验证码，这是一种最简单而有效的防止CSRF的方法，因为验证码在请求完成的过程中，强制用户与应用进行了交互，而CSRF都是在用户不知情的情况下完成的，所以很有效。但是验证码需要每个提交都要用户输入，增加了用户操作的复杂度，用户体验不好，一般只在登陆的时候使用比较好，所以这种方法只能作为一种辅助手段，而不是主要手段。

4、使用Token，这是防止CSRF最有效也是最常用的方法，具体就是在用户登陆成功后，为该会话分配一个采用安全随机数（不可被预测）生成的值，保存在session里面，称之为token。同时，在客户端的Web页面通过hidden元素将值写入里面。当客户端提交请求的时候，将此token随请求一起提交，服务器端可以通过此提交的token来和session里存放的token来对比，通过对比结果来判断客户端的访问是否合法。这种方法也是当前最广泛的方法。

5、尽量使用POST，放弃GET方法，CSRF攻击多数攻击代码都被隐藏在iframe，img等元素的src属性里，这样浏览器进行加载的时候，只会发起get操作，所以，如果我们的服务器端都改为POST的话，至少会降低被攻击的概率。

6、增加二次确认页面，在进行删除，更新的时候，不要直接进行数据操作，而是加入一些确认对话框之类的页面，让用户二次确认，即增加用户与服务端的交互行为。

关于这部分就说这么多吧~

原文 http://www.yunweipai.com/archives/6633.html

正文到此结束