CSRF攻击及方案浅析

一、原理

csrf（Cross Site Request Forgery, 跨站域请求伪造：CSRF 攻击允许恶意用户在另一个用户不知情或者未同意的情况下，以他的身份执
行操作。

CSRF 攻击是黑客借助受害者的 cookie 骗取服务器的信任，但是黑客并不能拿到 cookie，也看不到 cookie 的内容。另外，对于服务器返回的结果，由于浏览器同源策略的限制，黑客也无法进行解析。因此，黑客无法从返回的结果中得到任何东西，他所能做的就是给服务器发送请求，以执行请求中所描述的命令，在服务器端直接改变数据的值，而非窃取服务器中的数据 。黑客无法获取cookie和session值更无法进行解析。

二、过程：

假如用户A在某电商网站注册过并且用户本地浏览器又存在网站服务端颁发给自己的通行证（也就是cookie），那么对于用户A来说自己访问网站并且提交请求购买商品都是畅通无阻，不需要身份验证。但是黑客B想要利用A的账户给自己买东西，用户B直接访问电商网站当然无法实现这一目的，原因是B没有A的通行证，想要利用A的账户在访问网站时又不知道A的密码。那么B自己建造了一个黑客网站，这个黑客网站中存在跳转向目标电商网站的黑客url链接，url链接又包含了用户的请求（假如是A购买了一个iphone X发给某地址，当然这是B想要的地址）。当用户访问黑客网站时，点击黑客链接时，目标网站就会接受到请求，由于该请求是A的浏览器发出的，所以又包含A的cookie，服务端就会将一个iphone X发往B的地址，那么黑客B的目的就达到了。所以在csrf中黑客B并不知道A的cookie，只是间接利用了cookie，拿着A的通行证瞒过目标网站，实现自己目的。

实现的方式：

1. 黑客网页存在指向目标站点的链接，直接跳转

2. 黑客网页存在,其中xxx就是指向目标站点的链接，并且包含请求，例如 src=”http://goumai.example/withdraw?account=A&goods=iphonex&for=B ”

3. 黑客网页包含动态加载的JavaScript，存在转向目标站点的动作。

三、防御策略：在请求地址中添加 token 并验证

CSRF 攻击之所以能够成功，是因为黑客可以完全伪造用户的请求，该请求中所有的用户验证信息都是存在于 cookie 中，因此黑客可以在不知道这些验证信息的情况下直接利用用户自己的 cookie 来通过安全验证。要抵御 CSRF，关键在于在请求中放入黑客所不能伪造的信息，并且该信息不存在于 cookie 之中。可以在 HTTP 请求中以参数的形式加入一个随机产生的 token，并在服务器端建立一个拦截器（中间件：django.middleware.csrf.CsrfViewMiddleware）来验证这个 token，如果请求中没有 token 或者 token 内容不正确，则认为可能是 CSRF 攻击而拒绝该请求。

token 可以在用户登陆后产生并放于 session 之中，然后在每次请求时把 token 从 session 中拿出，与请求中的 token 进行比对，但这种方法的难点在于如何把 token 以参数的形式加入请求。对于 GET 请求，token 将附在请求地址之后，这样 URL 就变成 http://url?csrftoken=tokenvalue。 而对于 POST 请求来说，要在 form 的最后加上\ < input type=”hidden” name=”csrftoken” value=”tokenvalue”/>，这样就把 token 以参数的形式加入请求了。但是，在一个网站中，可以接受请求的地方非常多，要对于每一个请求都加上 token 是很麻烦的，并且很容易漏掉，通常使用的方法就是在每次页面加载时，使用 javascript 遍历整个 dom 树，对于 dom 中所有的 a 和 form 标签后加入 token。这样可以解决大部分的请求，但是对于在页面加载之后动态生成的 html 代码，这种方法就没有作用，还需要程序员在编码时手动添加 token。dom对象以及cookie

四、两种防御csrf的方式

1、form表单提交

<form action="/login/" method="POST">
    {#         {{ csrf_token }}#}
{{ csrf_token }}表示随机字符串交给服务端通过测试并隐藏在页面的input中
         {% csrf_token %}
{#         随机字符串隐藏在页面中的<input>中发送给后台#}
         <input type="text" name="user"/>
         <input type="text" name="pwd"/>
         <input type="submit" value="提交"/>
</form>

2、ajax提交

$(function () {

{#            在Ajax请求前设置请求头#}
            $.ajaxSetup({
                beforeSend: function (xhr, settings) {
                    xhr.setRequestHeader('X-CSRFtoken', $.cookie('csrftoken'));
                }
            });

            $('#btn').click(function () {
                $.ajax({

{#                    关于ajax中data#}
{#                    第一个data就是发送给服务端的数据,success里面的data是服务器返回的数据#}

                    url: '/login',
                    type:'POST',
                    data:{'user':'root', "pwd":'123'},
                    headers:{'X-CSRFtoken': $.cookie('csrftoken')},
{#                    请求头中不能出现下划线否则视为非法#}
                    success: function (data) {
                        console.log(data);
                        alert(data);
                    },
                    error: function (data) {
                      alert(data);
                    }
                    }
                )
            })
        });

对于Ajax提交时通常还需要对提交请请求的方法进行判断如果是get,head,options,trace方法，不会改变数据，CSRF 攻击
无法解析服务器返回的结果，无需保护。则不需要进行携带csrftoken所以请求前需要进行判断、

<script type="text/javascript">
        var csrftoken = $.cookie('csrftoken');

        function csrfSafeMethod(method) {
            // these HTTP methods do not require CSRF protection
            return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method));
        }
        $.ajaxSetup({
            beforeSend: function(xhr, settings) {
                if (!csrfSafeMethod(settings.type) && !this.crossDomain) {
                    xhr.setRequestHeader("X-CSRFToken", csrftoken);
                }
            }
        });
        function Do(){

            $.ajax({
                url:"/app01/test/",
                data:{id:1},
                type:'POST',
                success:function(data){
                    console.log(data);
                }
            });

        }
</script>

五、其他攻击

xss攻击

sql注入

更多请参考
CSRF攻击与防御