在网络世界中，用户信息和资产的安全至关重要。然而，恶意网站可能会利用用户的浏览器发起未经授权的请求，从而对用户造成损失。例如，如果用户登录了在线银行账户，CSRF攻击可能会在用户不知情的情况下将资金转移到攻击者的账户。本文将介绍CSRF攻击的工作原理、潜在后果以及如何通过实施多种安全措施来有效防护。
用户在访问一个受信任的网站（例如银行）时，会通过使用cookies来维持会话。当用户在登录状态下访问恶意网站时，恶意网站可能会利用用户的认证信息发起请求。
用户登录到受信任的网站，并使用cookies维持会话。
用户在登录受信任网站的同时访问恶意网站。
恶意网站使用用户的身份认证信息（通常通过cookies）向受信任网站发送请求。例如，如果用户登录了在线银行账户并访问了恶意网站，该网站可能会包含如下的图像标签：
<img src="https://bank.example.com/transfer?amount=1000&to=attacker"/>
由于用户已经通过银行认证，该请求将被执行，将资金转移到攻击者的账户。
CSRF攻击可能导致多种问题：
资金转移、更改账户设置或执行其他敏感操作。
窃取个人或敏感数据。
损害用户信任，破坏网站的声誉。
有效的防护措施包括实施各种安全措施，确保请求来自合法来源。
防止CSRF攻击的最常见方法之一是使用反CSRF令牌。这些是包含在每个表单或请求中的唯一令牌，必须由服务器进行验证。
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestParam;
import org.springframework.stereotype.Controller;
import org.springframework.web.servlet.ModelAndView;
@Controller
public class TransferController {
@PostMapping("/transfer")
public ModelAndView transferMoney(@RequestParam("amount") int amount, @RequestParam("to") String to, @RequestParam("csrfToken") String csrfToken) {
// 验证CSRF令牌
if (!validateCsrfToken(csrfToken)) {
throw new SecurityException("Invalid CSRF token");
}
// 执行资金转移
return new ModelAndView("success");
}
private boolean validateCsrfToken(String token) {
// 令牌验证逻辑
return true;
}
}
客户端代码（HTML表单）：
<form action="/transfer" method="post">
<input type="hidden" name="csrfToken" value="${csrfToken}">
<input type="number" name="amount" placeholder="Amount">
<input type="text" name="to" placeholder="Recipient">
<button type="submit">Transfer</button>
</form>
设置Cookie的SameSite属性是另一种有效的防护措施。这限制了跨站请求时发送的Cookie，增加了额外的保护层。
import javax.servlet.http.Cookie;
public class MyServlet extends HttpServlet {
@Override
protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
Cookie csrfCookie = new Cookie("csrfToken", generateCsrfToken());
csrfCookie.setHttpOnly(true);
csrfCookie.setSecure(true);
csrfCookie.setPath("/");
csrfCookie.setMaxAge(3600); // 1小时
csrfCookie.setSameSite("Strict"); // SameSite属性
response.addCookie(csrfCookie);
// 继续处理
}
private String generateCsrfToken() {
// 令牌生成逻辑
return "generatedToken";
}
}
验证Referer头确保请求来自合法来源。这涉及到检查传入请求的Referer头，确认它们来自预期的来源。
const express = require('express');
const app = express();
app.post('/transfer', (req, res) => {
const referer = req.headers.referer;
if (!referer || !referer.startsWith('https://yourwebsite.com')) {
return res.status(403).send('Forbidden');
}
// 执行转账
res.send('Transfer successful');
});
4.1 使用安全框架
现代Web框架通常包括内置的CSRF防护机制。确保使用这些功能来保护应用程序。
4.2 定期进行安全审计
定期进行安全审计，以识别和解决与CSRF和其他威胁相关的潜在漏洞。