网站制作公司深圳,北京免费建站网络营销,国家高新技术企业,前端区块链开发前些天发现了一个巨牛的人工智能学习网站#xff0c;通俗易懂#xff0c;风趣幽默#xff0c;忍不住分享一下给大家。点击跳转到教程。
一.CSRF是什么#xff1f; CSRF#xff08;Cross-site request forgery#xff09;#xff0c;中文名称#xff1a;跨站请求伪造通俗易懂风趣幽默忍不住分享一下给大家。点击跳转到教程。
一.CSRF是什么 CSRFCross-site request forgery中文名称跨站请求伪造也被称为one click attack/session riding缩写为CSRF/XSRF。
二.CSRF可以做什么 你这可以这么理解CSRF攻击攻击者盗用了你的身份以你的名义发送恶意请求。CSRF能够做的事情包括以你名义发送邮件发消息盗取你的账号甚至于购买商品虚拟货币转账......造成的问题包括个人隐私泄露以及财产安全。
三.CSRF漏洞现状 CSRF这种攻击方式在2000年已经被国外的安全人员提出但在国内直到06年才开始被关注08年国内外的多个大型社区和交互网站分别爆出CSRF漏洞如NYTimes.com纽约时报、Metafilter一个大型的BLOG网站YouTube和百度HI......而现在互联网上的许多站点仍对此毫无防备以至于安全业界称CSRF为“沉睡的巨人”。
四.CSRF的原理 下图简单阐述了CSRF攻击的思想 从上图可以看出要完成一次CSRF攻击受害者必须依次完成两个步骤 1.登录受信任网站A并在本地生成Cookie。 2.在不登出A的情况下访问危险网站B。 看到这里你也许会说“如果我不满足以上两个条件中的一个我就不会受到CSRF的攻击”。是的确实如此但你不能保证以下情况不会发生 1.你不能保证你登录了一个网站后不再打开一个tab页面并访问另外的网站。 2.你不能保证你关闭浏览器了后你本地的Cookie立刻过期你上次的会话已经结束。事实上关闭浏览器不能结束一个会话但大多数人都会错误的认为关闭浏览器就等于退出登录/结束会话了...... 3.上图中所谓的攻击网站可能是一个存在其他漏洞的可信任的经常被人访问的网站。 上面大概地讲了一下CSRF攻击的思想下面我将用几个例子详细说说具体的CSRF攻击这里我以一个银行转账的操作作为例子仅仅是例子真实的银行网站没这么傻: 示例1 银行网站A它以GET请求来完成银行转账的操作如http://www.mybank.com/Transfer.php?toBankId11money1000 危险网站B它里面有一段HTML的代码如下 img srchttp://www.mybank.com/Transfer.php?toBankId11money1000 首先你登录了银行网站A然后访问危险网站B噢这时你会发现你的银行账户少了1000块...... 为什么会这样呢原因是银行网站A违反了HTTP规范使用GET请求更新资源。在访问危险网站B的之前你已经登录了银行网站A而B中的img以GET的方式请求第三方资源这里的第三方就是指银行网站了原本这是一个合法的请求但这里被不法分子利用了所以你的浏览器会带上你的银行网站A的Cookie发出Get请求去获取资源“http://www.mybank.com/Transfer.php?toBankId11money1000”结果银行网站服务器收到请求后认为这是一个更新资源操作转账操作所以就立刻进行转账操作...... 示例2 为了杜绝上面的问题银行决定改用POST请求完成转账操作。 银行网站A的WEB表单如下 form actionTransfer.php methodPOST pToBankId: input typetext nametoBankId //p pMoney: input typetext namemoney //p pinput typesubmit valueTransfer //p /form 后台处理页面Transfer.php如下
?phpsession_start();if (isset($_REQUEST[toBankId] isset($_REQUEST[money])){buy_stocks($_REQUEST[toBankId], $_REQUEST[money]);}? 危险网站B仍然只是包含那句HTML代码 img srchttp://www.mybank.com/Transfer.php?toBankId11money1000 和示例1中的操作一样你首先登录了银行网站A然后访问危险网站B结果.....和示例1一样你再次没了1000块T_T这次事故的原因是银行后台使用了$_REQUEST去获取请求的数据而$_REQUEST既可以获取GET请求的数据也可以获取POST请求的数据这就造成了在后台处理程序无法区分这到底是GET请求的数据还是POST请求的数据。在PHP中可以使用$_GET和$_POST分别获取GET请求和POST请求的数据。在JAVA中用于获取请求数据request一样存在不能区分GET请求数据和POST数据的问题。 示例3 经过前面2个惨痛的教训银行决定把获取请求数据的方法也改了改用$_POST只获取POST请求的数据后台处理页面Transfer.php代码如下
?phpsession_start();if (isset($_POST[toBankId] isset($_POST[money])){buy_stocks($_POST[toBankId], $_POST[money]);}? 然而危险网站B与时俱进它改了一下代码
htmlheadscript typetext/javascriptfunction steal(){iframe document.frames[steal];iframe.document.Submit(transfer);}/script/headbody onloadsteal()iframe namesteal displaynoneform methodPOST nametransfer actionhttp://www.myBank.com/Transfer.phpinput typehidden nametoBankId value11input typehidden namemoney value1000/form/iframe/body
/html
如果用户仍是继续上面的操作很不幸结果将会是再次不见1000块......因为这里危险网站B暗地里发送了POST请求到银行! 总结一下上面3个例子CSRF主要的攻击模式基本上是以上的3种其中以第1,2种最为严重因为触发条件很简单一个img就可以了而第3种比较麻烦需要使用JavaScript所以使用的机会会比前面的少很多但无论是哪种情况只要触发了CSRF攻击后果都有可能很严重。 理解上面的3种攻击模式其实可以看出CSRF攻击是源于WEB的隐式身份验证机制WEB的身份验证机制虽然可以保证一个请求是来自于某个用户的浏览器但却无法保证该请求是用户批准发送的
五.CSRF的防御 我总结了一下看到的资料CSRF的防御可以从服务端和客户端两方面着手防御效果是从服务端着手效果比较好现在一般的CSRF防御也都在服务端进行。 1.服务端进行CSRF防御 服务端的CSRF方式方法很多样但总的思想都是一致的就是在客户端页面增加伪随机数。 (1).Cookie Hashing(所有表单都包含同一个伪随机值) 这可能是最简单的解决方案了因为攻击者不能获得第三方的Cookie(理论上)所以表单中的数据也就构造失败了: ?php //构造加密的Cookie信息 $value “DefenseSCRF”; setcookie(”cookie”, $value, time()3600); ? 在表单里增加Hash值以认证这确实是用户发送的请求。 ?php$hash md5($_COOKIE[cookie]);?form method”POST” action”transfer.php”input type”text” name”toBankId”input type”text” name”money”input type”hidden” name”hash” value”?$hash;?”input type”submit” name”submit” value”Submit”/form 然后在服务器端进行Hash值验证 ?phpif(isset($_POST[check])) {$hash md5($_COOKIE[cookie]);if($_POST[check] $hash) {doJob();} else {//...}} else {//...}? 这个方法个人觉得已经可以杜绝99%的CSRF攻击了那还有1%呢....由于用户的Cookie很容易由于网站的XSS漏洞而被盗取这就另外的1%。一般的攻击者看到有需要算Hash值基本都会放弃了某些除外所以如果需要100%的杜绝这个不是最好的方法。 (2).验证码 这个方案的思路是每次的用户提交都需要用户在表单中填写一个图片上的随机字符串厄....这个方案可以完全解决CSRF但个人觉得在易用性方面似乎不是太好还有听闻是验证码图片的使用涉及了一个被称为MHTML的Bug可能在某些版本的微软IE中受影响。 (3).One-Time Tokens(不同的表单包含一个不同的伪随机值) 在实现One-Time Tokens时需要注意一点就是“并行会话的兼容”。如果用户在一个站点上同时打开了两个不同的表单CSRF保护措施不应该影响到他对任何表单的提交。考虑一下如果每次表单被装入时站点生成一个伪随机值来覆盖以前的伪随机值将会发生什么情况用户只能成功地提交他最后打开的表单因为所有其他的表单都含有非法的伪随机值。必须小心操作以确保CSRF保护措施不会影响选项卡式的浏览或者利用多个浏览器窗口浏览一个站点。 以下我的实现: 1).先是令牌生成函数(gen_token()) ?phpfunction gen_token() {//这里我是贪方便实际上单使用Rand()得出的随机数作为令牌也是不安全的。//这个可以参考我写的Findbugs笔记中的《Random object created and used only once》$token md5(uniqid(rand(), true));return $token;} 2).然后是Session令牌生成函数(gen_stoken()) ?phpfunction gen_stoken() {$pToken ;if($_SESSION[STOKEN_NAME] $pToken){//没有值赋新值$_SESSION[STOKEN_NAME] gen_token();} else{//继续使用旧的值}}? 3).WEB表单生成隐藏输入域的函数
?phpfunction gen_input() {gen_stoken();echo “input type\”hidden\” name\” . FTOKEN_NAME . “\”value\” . $_SESSION[STOKEN_NAME] . “\” “;}? 4).WEB表单结构 ?phpsession_start();include(”functions.php”);?form method”POST” action”transfer.php”input type”text” name”toBankId”input type”text” name”money”? gen_input(); ?input type”submit” name”submit” value”Submit”/FORM 5).服务端核对令牌 这个很简单这里就不再啰嗦了。 上面这个其实不完全符合“并行会话的兼容”的规则大家可以在此基础上修改。 其实还有很多想写无奈精力有限暂且打住日后补充如果错漏请指出: PS今天下午写这篇文档的时候FF崩溃了一次写了一半文章的全没了郁闷好久T_T....... 转载请说明出处谢谢[hyddd(http://www.cnblogs.com/hyddd/)]
六.参考文献
[1].Preventing CSRF
[2].Security Corner: Cross-Site Request Forgeries
[3].《深入解析跨站请求伪造漏洞原理剖析》
[4].《Web安全测试之跨站请求伪造CSRF》
[5].《深入解析跨站请求伪造漏洞实例讲解》
[6].http://baike.baidu.com/view/1609487.htm 转自http://www.cnblogs.com/hyddd/archive/2009/04/09/1432744.html#top
