CSRF攻击与防御

水深无声 2022-05-05 13:58 251阅读 0赞

`CSRF`全拼为`Cross Site Request Forgery`，翻译过来就是`跨站请求伪造`  
跨站请求伪造（CSRF）是Web应用程序的一种常见的漏洞；其特性是危害性大，并且极其隐蔽。下面就从CSRF的危害实例，攻击原理，防御方法几个方面进行解释说明。

## **CSRF的危害实例与过程解析** ##

本案例主人公：  
用户：xiaoming  
A银行网站：[www.Abank.com][]  
黑客网站：[www.heikebank.com][]  
**1.xiaoming 今天闲来无事访问A银行的网站，由于需要查询个人账户的一些信息，所以登陆到A银行的账户上。**  
在xiaoming登陆了A银行的网站后，发生了下面的几件事：

> 1.xiaoming将自己的账号（user\_id= xiaoming）和自己账号对应的密码（user\_pwd=123456）通过请求报文发送给服务器了；  
> 【服务器生成带有cookie的响应报文】  
> 2.服务器收到xiaoming的请求，将他登陆输入的账号和密码与服务器数据库中的数据进行比对，在校验无误后，将登陆成功的数据反馈给浏览器，当然，这个时候，在服务器生成的关于账号和密码的cookie响应给浏览器；  
> 【服务器将响应报文返回给浏览器，浏览器本地保存了有个人信息的cookie】  
> 3.此时，浏览器的cookie是保存了xiaoming个人账号和密码的

**2.好的，在xiaoming浏览了一会A银行网站之后，闲暇之余，点开了黑客网站，打开黑客网站之后，有一个非常诱人的【领取优惠券】的点击界面，xiaoming经不住诱惑，点击了这个按钮**

> 1.先看看A网站的转账界面  
> ![在这里插入图片描述][70]

这个界面的网页源代码如下：  
网址为：`http://127.0.0.1:9000/transfer'`

#  这里只展示需要获取提交信息的表单部分的代码：
    <form method="post">
        <label>账户：</label><input type="text" name="to_account" placeholder="请输入对方账户"><br/>
        <label>金额：</label><input type="number" name="money" placeholder="请输入转账金额"><br/>
        <input type="submit" value="转账">
    </form>

> 2.再来看一下黑客网站的优惠券页面显示情况：  
> ![在这里插入图片描述][70 1]

这里的页面显示，你看到的是别人希望你看到的，然后我们再查阅一下这个显示界面下的网页源代码：

> 表面上，你是在访问网站B的优惠券领取界面，实际上，这个界面的访问地址是：`http://127.0.0.1:9000/transfer`

也就是说，我们看到的是点击获取优惠券，但是实际上，我们在底层实现的是，访问了A网站的转账页面，并且将转账的金额和转账的对象通过隐藏，让xiaoming无法看到。

## CSRF防御 - - -（请求地址中添加 token）： ##

上面的案例发生的前提是：xiaoming在访问黑客网站时，没有登出网站A，或者说，网站A存在的cookie没有过期，并且可用。  
而且，正常情况下，cookie的都不会太快时间过期，也就是说，如果没有好的防御机制，那么我们的账户就很容易被偷袭。

下面来介绍一下，如何进行CSRF的防御：

首先先声明两个代码：

# 后端代码增加：
    app.config['WTF_CSRF_ENABLED'] = True

# 前端代码增加
    {
       { form.csrf_token() }}

这两段代码在添加后，实现的功能如下：

1.  首先，在`app.config['WTF_CSRF_ENABLED'] = True` 配置下，在服务端会自动生成一段 随机的csrf\_token值；注意：csrf\_token值是保存在session中的，所以，需要进行`app.secret_key = 'qwertyui'`的配置；
2.  其次，在返回转账页面的响应里面设置 csrf\_token值 到 cookie 中（session依赖cookie进行传递）；
3.  将 csrf\_token 保存到表单的隐藏字段中（表单内容是在本地浏览器界面中的，而且每次刷新的时候，都会更新一个新的csrf\_token值；由于隐藏在xiaoming的本地浏览器中，黑客网站是无法获取到的）
4.  当需要进行转账操作时，会将之前生成的浏览器中的csrf\_token值跟随转账请求一起传送到服务端；服务端除了需要校验cookie中的用户名和密码是否匹配，还需要进行请求中csrf\_token值与服务端session中存储的csrf\_token是否一致。
5.  在所有匹配都符合要求的情况下，才可以进行转账操作。

[www.Abank.com]: http://www.Abank.com
[www.heikebank.com]: http://www.heikebank.com
[70]: /images/20220505/5704241551db42efb34ab21b6c0beeed.png
[70 1]: /images/20220505/68a87a2ec0154a8da2f01056432ea846.png