什么是 CSRF 攻击？如何防范？_csrf攻击的基本概念-CSDN博客

本文链接：https://blog.csdn.net/ZL_1618/article/details/146608329

什么是 CSRF 攻击？如何防范？

什么是 CSRF 攻击？

CSRF 是指跨站的请求伪造，这种攻击方法会强迫使用者在他们已经验证身份的网站中，执行某些恶意的伪造操作，因为已经验证过该使用者，所以网站就会以操作来自该使用者，因此接受了该操作。举例来说，某个使用者登入银行帐户后，去逛别的网站，但不小心点开恶意网站，该恶意网站中的代码用这名使用者的名义，进行未经同意的转帐操作。

CSRF 之所以成立，是因为使用者的身份已经先被验证过。如果要白话一点理解，就像是别人偷拿你的会员点数卡去买东西。但因为店家认卡，所以当看到小偷拿着你的卡，就相信小偷是你本人，于是接受该小偷使用你的点数进行消费。

CSRF 攻击流程

使用者成功登入 A 银行网站的帐户，并且代表使用者身份的 cookie 在本地保存下来，所以下次再来 A 银行网站时，不用重新登入
由于使用者没有登出 A 银行网站的帐户，在浏览 B 恶意网站时，B 网站有个被设为透明的图片，因为是透明的，所以使用者在画面上看不到，然而该图片包含一段恶意代码，代码如下。

// 备注：CSRF 攻击手法有很多，此代码例子是一种最基本的攻击方法之一<img  src="http://a-bank.com/transfer.do?acct=BadGuy&amount=100000 HTTP/1.1"  width="0"  height="0"/>

使用者虽然将看不到此图片，但是，浏览器仍会向http://a-bank.com/ 提交请求，同时此请求是带有使用者的 cookie，所以 A 银行可以辨识使用者身份，此恶意攻击执行成功。

CSRF 防御方法

加上验证

在针对比较危险的操作，可以再增加一些验证，像是图形验证码、简讯验证码等。

不要用 `GET` 请求来做关键操作

上面的透过把请求带到图片的例子，是很基本且常见的攻击方式。这种攻击之所以能很轻松做到，是因为使用了GET 请求进行操作。因此如果要避免 CSRF，最基本地做法，是不要用 GET 请求来做关键操作，建议用 POST 请求。

当然这不是说用 POST 请求就绝对安全，只是若使用 POST 请求，会需要有使用者的提交动作才能触发。许多钓鱼网站，都会引诱使用去点击某些按钮，正是因为要有点击这个提交动作，才能触发 CSRF 攻击。虽然仍有可能被攻击到，但起码不会像用 GET 请求，使用者可能在完全不知情下，进到网站就马上被攻击。

检查 Referrer

要能够避免被跨站伪造请求，一个方式是先辨识发出请求的，是在哪个网站。即使有 cookie 等验证使用者的机制，假如能够辨别出不是来自于原本的网站，就能把伪造的请求过滤掉。在 HTTP 的标头中有 Referrer 的字段，我们可以检查这个字段，来确保请求不是来自于其他网站。

然而这做法也不是没问题，因为这个字段的值，是由浏览器所提供，换句话说你的网站安全性，会依赖于浏览器这个第三方角色，假如某个浏览器的安全性做得不够好，让骇客能篡改 Referrer 的值，那仍有可能被攻击成功。因此我们需要更安全的防御方法。

CSRF token

用于认证身份的 cookie，因为会在每次发送请求时，被浏览器自动夹带在请求中，这让恶意网站也拿得到 cookie，所以可以拿来做伪造的请求。要避免被拿 cookie 来伪造请求，我们可以用 CSRF token。 CSRF token 的做法，是让网站用其他方式验证使用者的身份，而不是透过 cookie。

CSRF token 需要由服务器端生成，可以为每个请求或是每个 session 生成一次，但每个请求都生成会更为安全。接着，这个 token 会被传送到客户端，客户端可以在表单中用隐藏字段储存起来，客户端当客户端发出请求时，一起提交回服务器端，或是作为 header 一部分传回服务器端。服务器端需要在此用户的请求纪录或 session 中，找到该 token，如果客户端提供的 token 与其不同，则拒绝请求。

<form action="/transfer.do" method="post"><input type="hidden" name="CSRFToken" value="123token123">[...]</form>

浏览器本身防护 - SameSite cookies

由于许多 CSRF 攻击是因为 cookie 被恶意网站使用，拿来伪造请求。假如要避免这发生，其实可以透过限定 cookie 只能被自己的网站使用。要如何限定 cookie 只能被自己网站用呢? 我们可以透过 SameSite cookies 来做到。

Google 在 Chrome 51 版之后加入的 SameSite Cookie 的功能，他只要将原本设置 Cookie 的方式后面加上 SameSite 即可。

SameSite cookies 是 HTTP 回应标头中的 Set-Cookie 的属性之一，此属性的可能值为 Lax、Strict 或 None。 Lax 或 Strict 值可以阻挡第三方网站携带 cookie 来防御 CSRF 攻击。最安全的做法是设定 Strict，Strict 会限制其他 Domain 来的任何请求都不带上 Cookie，这样一来 cookie 就只能自己的网站中使用，也就不用担心被伪造请求。而 Lax 则是限制 POST、 DELETE、PUT 都不带上 Cookie，GET 则会带上 Cookie。

Set-Cookie: JSESSIONID=xxxxx; SameSit

学习网络安全技术的方法无非三种:

第一种是报网络安全专业，现在叫网络空间安全专业，主要专业课程:程序设计、计算机组成原理原理、数据结构、操作系统原理、数据库系统、计算机网络、人工智能、自然语言处理、社会计算、网络安全法律法规、网络安全、内容安全、数字取证、机器学习，多媒体技术，信息检索、舆情分析等。

第二种是自学，就是在网上找资源、找教程，或者是想办法认识一-些大佬，抱紧大腿，不过这种方法很耗时间，而且学习没有规划，可能很长一段时间感觉自己没有进步，容易劝退。

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

第三种就是去找培训。

接下来，我会教你零基础入门快速入门上手网络安全。

网络安全入门到底是先学编程还是先学计算机基础？这是一个争议比较大的问题，有的人会建议先学编程，而有的人会建议先学计算机基础，其实这都是要学的。而且这些对学习网络安全来说非常重要。但是对于完全零基础的人来说又或者急于转行的人来说，学习编程或者计算机基础对他们来说都有一定的难度，并且花费时间太长。

第一阶段：基础准备 4周~6周

这个阶段是所有准备进入安全行业必学的部分，俗话说：基础不劳，地动山摇

第二阶段：web渗透

学习基础时间：1周 ~ 2周：

① 了解基本概念：（SQL注入、XSS、上传、CSRF、一句话木马、等）为之后的WEB渗透测试打下基础。
② 查看一些论坛的一些Web渗透，学一学案例的思路，每一个站点都不一样，所以思路是主要的。
③ 学会提问的艺术，如果遇到不懂得要善于提问。

配置渗透环境时间：3周 ~ 4周：

① 了解渗透测试常用的工具，例如（AWVS、SQLMAP、NMAP、BURP、中国菜刀等）。
② 下载这些工具无后门版本并且安装到计算机上。
③ 了解这些工具的使用场景，懂得基本的使用，推荐在Google上查找。

渗透实战操作时间：约6周：

① 在网上搜索渗透实战案例，深入了解SQL注入、文件上传、解析漏洞等在实战中的使用。
② 自己搭建漏洞环境测试，推荐DWVA，SQLi-labs，Upload-labs，bWAPP。
③ 懂得渗透测试的阶段，每一个阶段需要做那些动作：例如PTES渗透测试执行标准。
④ 深入研究手工SQL注入，寻找绕过waf的方法，制作自己的脚本。
⑤ 研究文件上传的原理，如何进行截断、双重后缀欺骗(IIS、PHP)、解析漏洞利用（IIS、Nignix、Apache）等，参照：上传攻击框架。
⑥ 了解XSS形成原理和种类，在DWVA中进行实践，使用一个含有XSS漏洞的cms，安装安全狗等进行测试。
⑦ 了解一句话木马，并尝试编写过狗一句话。
⑧ 研究在Windows和Linux下的提升权限，Google关键词：提权

以上就是入门阶段