https://amatsuzero.github.io/LastStand/tags/csrf%E6%94%BB%E5%87%BB/Recent content in CSRF攻击 on Last StandHugozh-cnTue, 03 Dec 2024 00:00:00 +0800https://amatsuzero.github.io/LastStand/posts/frontend/security/security-002/Wed, 02 Oct 2024 00:00:00 +0800https://amatsuzero.github.io/LastStand/posts/frontend/security/security-002/<h2 id="csrf是什么">CSRF是什么</h2> <p>CSRF（Cross-site request forgery）跨站请求伪造：<strong>攻击者诱导受害者进入第三方网站，在第三方网站中，向被攻击网站发送跨站请求，利用受害者在被攻击网站已经获取的注册凭证，绕过后台的用户验证，达到冒充用户对被攻击的网站执行某项操作的目的。</strong></p> <p>一个典型的CSRF攻击有着如下的流程：</p> <ul> <li>受害者登录a.com，并保留了登录凭证（Cookie）。</li> <li>攻击者引诱受害者访问了b.com。</li> <li>b.com 向 a.com 发送请求。</li> <li>a.com接收到请求后，对请求进行验证，并确认是受害者的凭证，误以为是受害者自己发送的请求。</li> <li>a.com以受害者的名义执行了这个请求。</li> <li>攻击完成，攻击者在受害者不知情的情况下，冒充受害者，让a.com执行了自己定义的操作。</li> </ul> <h2 id="csrf的特点">CSRF的特点</h2> <ul> <li><strong>攻击一般发起在第三方网站，而不是被攻击的网站。被攻击的网站无法防止攻击发生</strong></li> <li><strong>攻击利用受害者在被攻击网站的登录凭证，冒充受害者提交操作；而不是直接窃取数据</strong></li> <li><strong>整个过程攻击者并不能获取到受害者的登录凭证，仅仅是“冒用”</strong></li> <li><strong>跨站请求可以用各种方式：图片URL、超链接、CORS、Form提交等等。</strong></li> </ul> <h2 id="如何进行预防">如何进行预防</h2> <p><strong>CSRF通常从第三方网站发起，被攻击的网站无法防止攻击发生，只能通过增强自己网站针对CSRF的防护能力来提升安全性。</strong></p> <p>防止<code>csrf</code>常用方案如下：</p> <ul> <li>阻止不明外域的访问<br></li> <li>同源检测</li> <li>Samesite Cookie</li> <li>提交时要求附加本域才能获取的信息<br></li> <li>CSRF Token</li> <li>双重Cookie验证</li> </ul> <h3 id="同源检测">同源检测</h3> <p>Cookie的同源和浏览器的同源策略有所区别：</p> <ul> <li>浏览器同源策略：协议、域名和端口都相同即同源；</li> <li>Cookie同源策略：域名相同即同源；</li> </ul> <p>在HTTP协议中，每个异步请求都会携带两个header,用来标记来源域名：</p> <ul> <li>Origin Header</li> <li>Referer Header</li> </ul> <p><strong>这两个Header在浏览器发起请求时，大多数情况会自动带上，并且不能由前端修改，服务器接收到后可以根据这两个Header确定来源的域名；</strong></p> <p><strong>综上所述：</strong> 同源验证是一个相对简单的防范方法，能够防范绝大多数的CSRF攻击。但这并不是万无一失的，<strong>对于安全性要求较高，或者有较多用户输入内容的网站，我们就要对关键的接口做额外的防护措施。</strong></p> <h3 id="samesite-cookie属性">Samesite Cookie属性</h3> <p>在<strong>Chrome 51</strong>版本后，浏览器的 Cookie 新增加了一个SameSite属性，用来防止 CSRF 攻击。</p> <p>Cookie的Samesite属性用来限制第三方Cookie, 从而减少安全风险，它有三个值：</p> <ul> <li>Set-Cookie: SameSite = Strict;</li> <li>Set-Cookie: SameSite = Lax;</li> <li>Set-Cookie: SameSite = None;</li> </ul> <p><strong>Strict：</strong> 最为严格，完全禁止第三方Cookie, 跨站点时，任何情况都不发送Cookie;</p> <p><strong>Lax：</strong> 限制稍微宽松，大多数情况下时不发送第三方Cookie的，除了a链接、预加载请求和GET表单；</p> <p><strong>None：</strong> 关闭<code>SameSite</code>属性，但必须同时设置<code>Secure</code>属性，</p>