Java 安全之：csrf攻击总结
最近在维护一些老项目，调试时发现请求屡屡被拒绝，仔细看了一下项目的源码，发现有csrf token校验，借这个机会把csrf攻击学习了一下，总结成文。本文主要总结什么是csrf攻击以及有哪些方法来防范，接下来会再写一篇文章，从源码中来学习一下实战中是如何防御csrf攻击的。
主要内容如下：
1. 什么是CSRF攻击
CSRF(Cross-site request forgery)跨站请求伪造：攻击者诱导受害者进入第三方网站，在第三方网站中，向被攻击网站发送跨站请求。利用受害者在被攻击网站已经获取的注册凭证(比如cookie)，绕过后台的用户验证，达到冒充用户对被攻击的网站执行某项操作的目的。
一个典型的CSRF攻击有着如下的流程：
- 受害者登录a.com，并保留了登录凭证(cookie)；
- 攻击者引诱受害者访问了b.com；
- b.com向a.com发送了一个请求：a.com/act=xx。浏览器会默认携带a.com的cookie；
- a.com接收到请求后，对请求进行验证，并确认是受害者的凭证，会误以为是受害者自己发送的请求；
- a.com以受害者的名义执行act=xx；
- 攻击完成，攻击者在受害者不知情的情况下，冒充受害者，让a.com执行了自己定义的操作；
2. 几种常见的攻击类型
2.1 GET类型的CSRF
GET类型的CSRF利用非常简单，只需要一个HTTP，一般会这样利用：
<img src="http://bank.example/withdraw?account&=xx&amount=100&to=hacker" >
在受害者访问含有这个img的页面之后，浏览器会自动向http://bank.example/withdraw?account=xx&amount=100&to=hacker发送一次HTTP请求。bank.example就会收到包含受害者登录信息的一次跨域请求。
2.2 Post类型的CSRF
这种类型的CSRF利用起来通常使用的是一个自动提交的表单，如：
<form action = "https://bank.example/withdraw" method="POST">
<input type="hidden" name="account" value="xx" />
<input type="hidden" name="ammount" value="100" />
<input type="hidden" name="for" value="hacker" />
</form>
<script> document.forms[0].submit(); </script>
访问该页面后，表单会自动提交，相当于模拟用户完成了一次POST操作。
POST类型的攻击通常比GET要求更加严格一点，但并不复杂。任何个人网站、博客，被黑客上传页面的网站都有可能是发起攻击的来源，后端接口不能将安全寄托在仅允许POST上面。
2.3 链接类型的CSRF
链接类型的CSRF并不常见，比起其他两种用户打开页面就会中招的情况，这种需要用户点击链接才会触发。这种类型通常是在论坛中发布图片中嵌入恶意链接，或者以广告的形式诱导用户中招，攻击者通常会以比较夸张的词语诱骗用户点击，例如：
<a href="https://bank.example.com/csrf/withdraw.php?amount=100&to=hacker" target="_blank">
文章和马伊琍离婚！！！
</a>
由于之前用户已经登录，在登录状态还未过期时，只要用户主动访问上面的这个PHP页面，则攻击成功。
3. CSRF的特点
- 攻击一般发起在第三方网站，而不是被攻击的网站。被攻击的网站无法防止攻击发生。
- 攻击利用受害者在被攻击网站的登录凭证，冒充受害者提交操作；而不是直接窃取数据。
- 整个过程攻击者并不能获取到受害者的登录凭证，仅仅是“冒用”。
- 跨站请求可以用各种方式：图片URL、超链接、CORS、Form提交等等。部分请求方式可以直接嵌入在第三方论坛、文章中，难以进行追踪。
CSRF通常是跨域的，因为外域通常更容易被攻击者掌控。但是如果本域下有容易被利用的功能，比如可以发图和链接的论坛和评论区，攻击可以直接在本域下进行，而且这种攻击更加危险。
4. 防护策略
CSRF通常从第三方网站发起，被攻击的网站无法防止攻击发生，只能通过增强自己网站针对CSRF的防护能力来提升安全性。上文中讲了CSRF的两个特点：
- CSRF(通常)发生在第三方域名；
- CSRF攻击者不能获取到Cookie等信息，只是使用；
针对这两点，有如下常用的防护策略，下面会有详细说明：
- 同源检测
- CSRF Token
- 双重Cookie验证
4.1 同源检测
这属于在提交时要求附加本域才能获取的信息的方式，这是源于CSRF大多来自第三方网站，通过直接禁止外域（或者不受信任的域名）对我们发起请求的方式来防护攻击，那又是如何来实现这种方式呢？
在HTTP协议中，有一个Header叫Referer，用于标记来源域名。在浏览器发起请求时，大多数情况会自动带上这个Header，并且不能由前端自定义其内容，所以服务器可以通过解析这个Header中的域名，确定请求的来源域。对于Ajax请求，图片和script等资源请求，Referer为发起请求的页面地址。对于页面跳转，Referer为打开页面历史记录的前一个页面地址。因此通过Referer中链接的Origin部分就可以得知请求的来源域名。
这种方法并非万无一失，Referer的值是由浏览器提供的，虽然HTTP协议上有明确的要求，但是每个浏览器对于Referer的具体实现可能有差别，并不能保证浏览器自身没有安全漏洞。使用验证 Referer 值的方法，就是把安全性都依赖于第三方（即浏览器）来保障，从理论上来讲，这样并不是很安全。在部分情况下，攻击者可以隐藏，甚至修改自己请求的Referer。
前面说过，CSRF大多数情况下来自第三方域名，但并不能排除本域发起。如果攻击者有权限在本域发布评论（含链接、图片等，统称UGC），那么它可以直接在本域发起攻击，这种情况下同源策略无法达到防护的作用。
总结
同源验证是一个相对简单的防范方法，能够防范绝大多数的CSRF攻击。但这并不是万无一失的，对于安全性要求较高，或者有较多用户输入内容的网站，我们就要对关键的接口做额外的防护措施。
4.2 CSRF Token校验
CSRF的另一个特征是，攻击者无法直接窃取到用户的信息（Cookie，Header，网站内容等），仅仅是冒用Cookie中的信息。而CSRF攻击之所以能够成功，是因为服务器误把攻击者发送的请求当成了用户自己的请求。那么我们可以要求所有的用户请求都携带一个CSRF攻击者无法获取到的Token。服务器通过校验请求是否携带正确的Token来把正常的请求和攻击的请求区分开，这也可以防范CSRF的攻击。
基于CSRF Token的防护策略大致分为三个步骤：
1.将CSRF Token输出到页面中
首先，用户打开页面的时候，服务器需要给这个用户生成一个Token，该Token通过加密算法对数据进行加密，一般Token都包括随机字符串和时间戳的组合，显然在提交时Token不能再放在Cookie中了，否则又会被攻击者冒用。因此，为了安全起见Token最好还是存在服务器的Session中，之后在每次页面加载时，使用JS遍历整个DOM树，对于DOM中所有的a和form标签后加入Token。这样可以解决大部分的请求，但是对于在页面加载之后动态生成的HTML代码，这种方法就没有作用，还需要程序员在编码时手动添加Token。
2.页面提交的请求携带这个Token
对于GET请求，Token将附在请求地址之后，这样URL就变成 http://url?csrftoken=tokenvalue。而对于 POST请求来说，要在form的最后加上：
<input type="hidden" name="csrftoken" value="tokenvalue"/>
3.服务器验证Token是否正确
当用户从客户端得到了Token，再次提交给服务器的时候，服务器需要判断Token的有效性，验证过程是先解密Token，对比加密字符串以及时间戳，如果加密字符串一致且时间未过期，那么这个Token就是有效的。
这种方法要比之前检查Referer或者Origin要安全一些，Token可以在产生并放于Session之中，然后在每次请求时把Token从Session中拿出，与请求中的Token进行比对，但这种方法的比较麻烦的在于如何把Token以参数的形式加入请求。 下面将以Java为例，介绍一些CSRF Token的服务端校验逻辑，代码如下：
HttpServletRequest req = (HttpServletRequest)request; HttpSession s = req.getSession(); // 从sesion中得到csrftoken属性 String sToken = (String)s.getAttribute("csrftoken"); if(sToken == null){ // 产生新的token放入session中 sToken = generateToken(); s.setAttribute("csrftoken",sToken); chain.doFilter(request,response); }else{ // 从HTTP头中取得csrftoken String xhrToken = req.getHeader("csrftoken"); // 从请求参数中取得csrftoken String pToken = req.getParameter("csrftoken"); if(sToken != null && xhrToken != null && sToken.equals(xhrToken)){ chain.doFilter(request,response); }else if(sToken != null & pToken != null && sToken.equals(pToken)){ chain.doFilter(request,response); }else{ request.getRequestDispatcher("error.jsp").forward(request,response); } }
总结
Token是一个比较有效的CSRF防护方法，只要页面没有XSS漏洞泄露Token，那么接口的CSRF攻击就无法成功。但是此方法的实现比较复杂，需要给每一个页面都写入Token（前端无法使用纯静态页面），每一个Form及Ajax请求都携带这个Token，后端对每一个接口都进行校验，并保证页面Token及请求Token一致。这就使得这个防护策略不能在通用的拦截上统一拦截处理，而需要每一个页面和接口都添加对应的输出和校验。这种方法工作量巨大，且有可能遗漏。
4.3 双重Cookie验证
在会话中存储CSRF Token比较繁琐，而且不能在通用的拦截上统一处理所有的接口。
那么另一种防御措施是使用双重提交Cookie。利用CSRF攻击不能获取到用户Cookie的特点，我们可以要求Ajax和表单请求携带一个Cookie中的值。
双重Cookie采用以下流程：
- 在用户访问网站页面时，向请求域名注入一个Cookie，内容为随机字符串（例如csrfcookie=v8g9e4ksfhw）。
- 在前端向后端发起请求时，取出Cookie，并添加到URL的参数中（接上例POST https://www.a.com/comment?csrfcookie=v8g9e4ksfhw）。
- 后端接口验证Cookie中的字段与URL参数中的字段是否一致，不一致则拒绝。
此方法相对于CSRF Token就简单了许多。可以直接通过前后端拦截的的方法自动化实现。后端校验也更加方便，只需进行请求中字段的对比，而不需要再进行查询和存储Token。
当然，此方法并没有大规模应用，其在大型网站上的安全性还是没有CSRF Token高，原因我们举例进行说明。
由于任何跨域都会导致前端无法获取Cookie中的字段（包括子域名之间），于是发生了如下情况：
- 如果用户访问的网站为www.a.com，而后端的api域名为api.a.com。那么在www.a.com下，前端拿不到api.a.com的Cookie，也就无法完成双重Cookie认证。
- 于是这个认证Cookie必须被种在a.com下，这样每个子域都可以访问。
- 任何一个子域都可以修改a.com下的Cookie。
- 某个子域名存在漏洞被XSS攻击（例如upload.a.com）。虽然这个子域下并没有什么值得窃取的信息。但攻击者修改了a.com下的Cookie。
- 攻击者可以直接使用自己配置的Cookie，对XSS中招的用户再向www.a.com下，发起CSRF攻击。
总结
使用双重Cookie防御CSRF的优点：
- 无需使用Session，适用面更广，易于实施。
- Token储存于客户端中，不会给服务器带来压力。
- 相对于Token，实施成本更低，可以在前后端统一拦截校验，而不需要一个个接口和页面添加。
缺点：
- Cookie中增加了额外的字段。
- 如果有其他漏洞（例如XSS），攻击者可以注入Cookie，那么该防御方式失效。
- 难以做到子域名的隔离。
- 为了确保Cookie传输安全，采用这种防御方式的最好确保用整站HTTPS的方式，如果还没切HTTPS的使用这种方式也会有风险。
5. 总结
本文简单总结了一下CSRF的防护策略：
- CSRF自动防御策略：同源检测（Origin 和 Referer 验证）；
- CSRF主动防御措施：Token验证 或者 双重Cookie验证；
除此之外，保证页面的幂等性，后端接口不要在GET页面中做用户操作。为了更好的防御CSRF，最佳实践应该是结合上面总结的防御措施方式中的优缺点来综合考虑，结合当前Web应用程序自身的情况做合适的选择，才能更好的预防CSRF的发生。
参考文献：
