Labs 導(dǎo)讀

在當(dāng)今數(shù)字化時(shí)代，隨著網(wǎng)絡(luò)應(yīng)用的快速發(fā)展，網(wǎng)絡(luò)安全問(wèn)題變得日益突出，網(wǎng)絡(luò)攻擊手段也日益猖獗。在眾多網(wǎng)絡(luò)安全攻擊手段中，CSRF（跨站請(qǐng)求偽造）攻擊是一種被廣泛認(rèn)為具有潛在危害且常見(jiàn)的攻擊方式之一。與其他攻擊方式相比，CSRF 攻擊不需要獲取用戶的敏感信息（如用戶名和密碼），而是利用了用戶和網(wǎng)站之間的信任關(guān)系，使得攻擊者可以在用戶不知情的情況下執(zhí)行未經(jīng)授權(quán)的操作，從而導(dǎo)致嚴(yán)重的后果。

在本篇文章中，我們將剖析攻擊者是如何利用用戶身份和瀏覽器漏洞來(lái)實(shí)施CSRF攻擊行為，通過(guò)深入了解這種攻擊方式，探索防御這一攻擊的最佳實(shí)踐，為構(gòu)建更加安全的網(wǎng)絡(luò)環(huán)境做出貢獻(xiàn)。

作者：葛賢亮

單位：中國(guó)移動(dòng)智慧家庭運(yùn)營(yíng)中心

Part 01 ●了解CSRF攻擊●

CSRF（Cross-Site Request Forgery，跨站請(qǐng)求偽造）是一種常見(jiàn)的網(wǎng)絡(luò)安全攻擊方式，它利用了網(wǎng)站對(duì)用戶請(qǐng)求的信任機(jī)制。攻擊者通過(guò)誘使用戶在訪問(wèn)惡意網(wǎng)站或點(diǎn)擊惡意鏈接時(shí)，發(fā)送偽造的請(qǐng)求到被用戶信任（已登錄）的目標(biāo)網(wǎng)站，從而執(zhí)行未經(jīng)授權(quán)的操作。

CSRF攻擊可能導(dǎo)致如下安全風(fēng)險(xiǎn)：

(1)資金損失：攻擊者可以利用CSRF攻擊進(jìn)行非法的資金轉(zhuǎn)移、支付操作，導(dǎo)致用戶的資金受損。

(2)惡意操作：攻擊者可以以受害者的身份執(zhí)行惡意操作，如修改賬戶密碼、刪除重要數(shù)據(jù)等，給用戶帶來(lái)不便和損失。

CSRF攻擊的基本原理如圖所示：

圖1.1-1 CSRF攻擊原理

(1)用戶的身份驗(yàn)證：當(dāng)用戶A瀏覽并成功登錄受信任網(wǎng)站B時(shí)，受信任網(wǎng)站B會(huì)為用戶生成一個(gè)會(huì)話標(biāo)識(shí)用于進(jìn)行后續(xù)操作的身份驗(yàn)證，通常通過(guò)Cookie存儲(chǔ)在用戶的瀏覽器中。

(2)用戶訪問(wèn)惡意網(wǎng)站：攻擊者制作一個(gè)惡意網(wǎng)站C，并誘使用戶A訪問(wèn)。這可以通過(guò)發(fā)送欺騙性的電子郵件、社交媒體信息、惡意廣告等方式實(shí)現(xiàn)。

(3)惡意請(qǐng)求的發(fā)送：當(dāng)用戶訪問(wèn)惡意網(wǎng)站C時(shí)，網(wǎng)站C會(huì)加載包含惡意請(qǐng)求的HTML代碼。這些請(qǐng)求通常以圖片、鏈接或表單的形式存在，使瀏覽器在用戶A無(wú)感知或未授權(quán)的情況下自動(dòng)訪問(wèn)受信任網(wǎng)站B。

(4)用戶瀏覽器自動(dòng)發(fā)送請(qǐng)求：由于用戶A已經(jīng)在受信任網(wǎng)站B上進(jìn)行了身份驗(yàn)證，他們的瀏覽器會(huì)自動(dòng)攜帶相應(yīng)的身份驗(yàn)證憑證（Cookie）。該行為為瀏覽器默認(rèn)行為。

(5)受信任網(wǎng)站的誤判：用戶A瀏覽器發(fā)送的請(qǐng)求因攜帶著用戶的身份驗(yàn)證憑證，被受信任網(wǎng)站B視為合法請(qǐng)求，并執(zhí)行請(qǐng)求中指定的操作，使得惡意網(wǎng)站C的攻擊生效。

通過(guò)以上流程可以看出CSRF攻擊的一些特征：

(1)CSRF攻擊場(chǎng)景很大程度上依賴于瀏覽器的自動(dòng)行為（瀏覽器在發(fā)送請(qǐng)求時(shí)會(huì)自動(dòng)攜帶相應(yīng)的Cookie）；

(2)攻擊者實(shí)施CSRF攻擊并不能竊取到用戶的Cookie；

(3)攻擊者實(shí)施CSEF攻擊并不需要竊取到用戶賬戶控制權(quán)（如竊取用戶名密碼）；

(4)由于瀏覽器同源策略的限制，攻擊者也無(wú)法竊取到惡意請(qǐng)求返回的結(jié)果。

Part 02 ●如何防御CSRF攻擊●

在了解了CSRF攻擊的方式和特征之后，就可以有針對(duì)性地采取相應(yīng)的防御措施。

2.1 防御策略一：使用CSRF令牌

一種比較流行的防御方式是使用CSRF令牌（Token）。它通過(guò)在用戶會(huì)話中生成一個(gè)唯一的令牌，并將其嵌入到用戶的請(qǐng)求中來(lái)驗(yàn)證請(qǐng)求的合法性。

以下是使用CSRF令牌進(jìn)行防御的基本步驟：

(1)接口鑒權(quán)：服務(wù)端針對(duì)敏感請(qǐng)求接口（API）進(jìn)行身份校驗(yàn)，不允許匿名訪問(wèn)；

(2)生成CSRF令牌：在用戶登錄開(kāi)始時(shí)，服務(wù)器為用戶生成一個(gè)唯一的CSRF令牌。這個(gè)令牌通常是一個(gè)隨機(jī)的字符串或JWT。

(3)將令牌嵌入到請(qǐng)求中：在用戶訪問(wèn)頁(yè)面或發(fā)送請(qǐng)求時(shí)，將生成的CSRF令牌嵌入到請(qǐng)求中。

(4)驗(yàn)證令牌：當(dāng)用戶提交請(qǐng)求時(shí)，服務(wù)器端會(huì)驗(yàn)證請(qǐng)求中的CSRF令牌是否有效。如果令牌有效，則說(shuō)明請(qǐng)求是合法的；如果令牌無(wú)效或者缺失，則可能是CSRF攻擊，服務(wù)器拒絕該請(qǐng)求。

使用令牌方式防御CSRF攻擊時(shí)，需注意如下幾點(diǎn)：

(1)該令牌必須具有隨機(jī)性，使得攻擊者無(wú)法偽造令牌；

(2)該令牌不能存儲(chǔ)在Cookie中，服務(wù)端進(jìn)行用戶身份校驗(yàn)時(shí)不能通過(guò)Cookie自動(dòng)獲取該令牌；

(3)用戶在瀏覽器中退出登錄時(shí)，需清除本地存儲(chǔ)的令牌；

(4)用戶在登錄成功后需妥善存儲(chǔ)令牌，以免泄漏給第三方；

(5)開(kāi)發(fā)者在實(shí)現(xiàn)時(shí)需注意令牌的生成和驗(yàn)證邏輯的安全性，并合理管理令牌的生命周期。

2.2 防御策略二：檢查Referer頭部信息

Referer是HTTP協(xié)議中的一個(gè)字段，用于指示請(qǐng)求的來(lái)源頁(yè)面。當(dāng)瀏覽器發(fā)送HTTP請(qǐng)求時(shí)，它會(huì)在請(qǐng)求頭中包含Referer字段，值為當(dāng)前頁(yè)面的URL。通過(guò)檢查Referer請(qǐng)求頭，服務(wù)器可以驗(yàn)證請(qǐng)求的來(lái)源是否與預(yù)期一致，從而判斷請(qǐng)求是否合法。

需要注意的是，Referer請(qǐng)求頭并不是絕對(duì)可靠的，一些瀏覽器或網(wǎng)絡(luò)代理可能會(huì)修改或刪除Referer請(qǐng)求頭。因此，單獨(dú)依賴Referer頭部進(jìn)行防御可能不足以阻止所有的CSRF攻擊，但它仍然可以作為一種附加層面的安全措施，與其他防御措施（如CSRF令牌）結(jié)合使用，以提高系統(tǒng)的整體安全性。

2.3 防御策略三：實(shí)施SameSite屬性限制

SameSite屬性是一種可以應(yīng)用于HTTP Cookie的安全屬性，它用于控制瀏覽器是否允許在跨站點(diǎn)請(qǐng)求中發(fā)送Cookie。通過(guò)設(shè)置SameSite屬性，可以限制Cookie只在同一站點(diǎn)的請(qǐng)求中發(fā)送，從而減少CSRF攻擊的風(fēng)險(xiǎn)。

需要注意的是，SameSite屬性并非所有瀏覽器都完全支持，特別是舊版本的瀏覽器。SameSite屬性最早由Google在2016年提出，并在2018年的Chrome瀏覽器版本中首次實(shí)現(xiàn)和推出。因此，在使用SameSite屬性時(shí)，需要進(jìn)行適當(dāng)?shù)募嫒菪詸z查，并根據(jù)具體情況選擇合適的Fallback策略。

2.4 防御策略四：使用雙因素身份驗(yàn)證

雙因素身份驗(yàn)證（Two-Factor Authentication，簡(jiǎn)稱2FA）是一種增強(qiáng)登錄安全性的身份驗(yàn)證方法。它要求用戶在登錄或進(jìn)行敏感操作時(shí)，除了提供密碼（或其他單一因素）外，還要提供第二個(gè)獨(dú)立的驗(yàn)證因素，以確認(rèn)其身份。常見(jiàn)的驗(yàn)證因素包括密碼、手機(jī)驗(yàn)證碼、動(dòng)態(tài)驗(yàn)證碼、指紋識(shí)別、硬件令牌等。

對(duì)于部分敏感操作，例如刪除賬戶信息、支付等，可以強(qiáng)制要求用戶進(jìn)行雙因素身份驗(yàn)證。這樣可以增加攻擊者成功實(shí)施CSRF攻擊的難度，因?yàn)榧词构粽吣軌騻卧煺?qǐng)求，仍然無(wú)法通過(guò)雙因素驗(yàn)證步驟。

需要注意的是，雙因素身份驗(yàn)證并不是絕對(duì)安全的，只能作為綜合的安全措施之一，與其他防御策略結(jié)合使用，以提供更強(qiáng)大的安全防護(hù)。

2.5 防御策略五：謹(jǐn)慎使用GET請(qǐng)求

在防御CSRF（Cross-Site Request Forgery）攻擊時(shí)，合理使用HTTP請(qǐng)求方法是非常重要的。尤其是針對(duì)GET請(qǐng)求，通常而言，GET請(qǐng)求要求具備冪等性，所以某些安全框架的配置中默認(rèn)沒(méi)有對(duì)GET請(qǐng)求進(jìn)行防護(hù)。

在Spring Security中，可通過(guò)CsrfFilter實(shí)現(xiàn)對(duì)CSRF攻擊的防護(hù)。CsrfFilter攔截請(qǐng)求，并允許使用GET、HEAD、TRACE 和 OPTIONS等HTTP方法的請(qǐng)求。而針對(duì)PUT、POST、DELETE等可能會(huì)修改數(shù)據(jù)的其他請(qǐng)求，CsrfFilter則要求其必須包含csrf_token信息。如果請(qǐng)求中不存在或包含不正確的csrf_token值，服務(wù)端將拒絕該請(qǐng)求并返回403狀態(tài)碼。

因此，對(duì)于執(zhí)行敏感操作的請(qǐng)求，應(yīng)該使用POST、PUT、DELETE等非冪等方法，而不是GET方法。這樣可以防止攻擊者通過(guò)構(gòu)造惡意的圖片或鏈接來(lái)觸發(fā)CSRF攻擊。

Part 03 ● 總結(jié)●

CSRF攻擊是一種長(zhǎng)期存在且不斷演變的安全威脅。隨著互聯(lián)網(wǎng)技術(shù)的不斷發(fā)展，CSRF攻擊也在不斷演進(jìn)，未來(lái)的CSRF攻擊可能會(huì)更加復(fù)雜、隱蔽和智能化。為了應(yīng)對(duì)這些威脅，安全研究人員和開(kāi)發(fā)者需要密切關(guān)注攻擊的新趨勢(shì)和漏洞，并不斷提升防御技術(shù)和意識(shí)。同時(shí)，用戶也需要保持警惕，采取合適的防護(hù)措施，以確保個(gè)人和組織的網(wǎng)絡(luò)安全。

審核編輯：湯梓紅