Java 安全之：csrf攻击总结

　　最近在维护一些老项目，调试时发现请求屡屡被拒绝，仔细看了一下项目的源码，发现有csrf token校验，借这个机会把csrf攻击学习了一下，总结成文。本文主要总结什么是csrf攻击以及有哪些方法来防范，接下来会再写一篇文章，从源码中来学习一下实战中是如何防御csrf攻击的。

　　主要内容如下：

　　什么是CSRF攻击

　　几种常见的攻击类型

　　CSRF的特点

　　防护策略

　　总结

1. 什么是CSRF攻击

　　CSRF(Cross-site request forgery)跨站请求伪造：攻击者诱导受害者进入第三方网站，在第三方网站中，向被攻击网站发送跨站请求。利用受害者在被攻击网站已经获取的注册凭证(比如cookie)，绕过后台的用户验证，达到冒充用户对被攻击的网站执行某项操作的目的。

　　一个典型的CSRF攻击有着如下的流程：

受害者登录a.com，并保留了登录凭证(cookie)；
攻击者引诱受害者访问了b.com；
b.com向a.com发送了一个请求：a.com/act=xx。浏览器会默认携带a.com的cookie；
a.com接收到请求后，对请求进行验证，并确认是受害者的凭证，会误以为是受害者自己发送的请求；
a.com以受害者的名义执行act=xx；
攻击完成，攻击者在受害者不知情的情况下，冒充受害者，让a.com执行了自己定义的操作；

2. 几种常见的攻击类型

2.1 GET类型的CSRF

　　GET类型的CSRF利用非常简单，只需要一个HTTP，一般会这样利用：

<img src="http://bank.example/withdraw?account&=xx&amount=100&to=hacker" >

　　在受害者访问含有这个img的页面之后，浏览器会自动向http://bank.example/withdraw?account=xx&amount=100&to=hacker发送一次HTTP请求。bank.example就会收到包含受害者登录信息的一次跨域请求。

2.2 Post类型的CSRF

　　这种类型的CSRF利用起来通常使用的是一个自动提交的表单，如：

<form action = "https://bank.example/withdraw" method="POST">
    <input type="hidden" name="account" value="xx" />
    <input type="hidden" name="ammount" value="100" />
    <input type="hidden" name="for" value="hacker" />
</form>
<script> document.forms[0].submit(); </script>

　　访问该页面后，表单会自动提交，相当于模拟用户完成了一次POST操作。

　　POST类型的攻击通常比GET要求更加严格一点，但并不复杂。任何个人网站、博客，被黑客上传页面的网站都有可能是发起攻击的来源，后端接口不能将安全寄托在仅允许POST上面。

2.3 链接类型的CSRF

　　链接类型的CSRF并不常见，比起其他两种用户打开页面就会中招的情况，这种需要用户点击链接才会触发。这种类型通常是在论坛中发布图片中嵌入恶意链接，或者以广告的形式诱导用户中招，攻击者通常会以比较夸张的词语诱骗用户点击，例如：

<a href="https://bank.example.com/csrf/withdraw.php?amount=100&to=hacker" target="_blank">
    文章和马伊琍离婚！！！
</a>

　　由于之前用户已经登录，在登录状态还未过期时，只要用户主动访问上面的这个PHP页面，则攻击成功。

3. CSRF的特点

攻击一般发起在第三方网站，而不是被攻击的网站。被攻击的网站无法防止攻击发生。
攻击利用受害者在被攻击网站的登录凭证，冒充受害者提交操作；而不是直接窃取数据。
整个过程攻击者并不能获取到受害者的登录凭证，仅仅是“冒用”。
跨站请求可以用各种方式：图片URL、超链接、CORS、Form提交等等。部分请求方式可以直接嵌入在第三方论坛、文章中，难以进行追踪。

　　CSRF通常是跨域的，因为外域通常更容易被攻击者掌控。但是如果本域下有容易被利用的功能，比如可以发图和链接的论坛和评论区，攻击可以直接在本域下进行，而且这种攻击更加危险。

4. 防护策略

　　CSRF通常从第三方网站发起，被攻击的网站无法防止攻击发生，只能通过增强自己网站针对CSRF的防护能力来提升安全性。上文中讲了CSRF的两个特点：

CSRF(通常)发生在第三方域名；
CSRF攻击者不能获取到Cookie等信息，只是使用；

　　针对这两点，有如下常用的防护策略，下面会有详细说明：

同源检测
CSRF Token
双重Cookie验证

4.1 同源检测

　　这属于在提交时要求附加本域才能获取的信息的方式，这是源于CSRF大多来自第三方网站，通过直接禁止外域（或者不受信任的域名）对我们发起请求的方式来防护攻击，那又是如何来实现这种方式呢？

　　在HTTP协议中，有一个Header叫Referer，用于标记来源域名。在浏览器发起请求时，大多数情况会自动带上这个Header，并且不能由前端自定义其内容，所以服务器可以通过解析这个Header中的域名，确定请求的来源域。对于Ajax请求，图片和script等资源请求，Referer为发起请求的页面地址。对于页面跳转，Referer为打开页面历史记录的前一个页面地址。因此通过Referer中链接的Origin部分就可以得知请求的来源域名。

　　这种方法并非万无一失，Referer的值是由浏览器提供的，虽然HTTP协议上有明确的要求，但是每个浏览器对于Referer的具体实现可能有差别，并不能保证浏览器自身没有安全漏洞。使用验证 Referer 值的方法，就是把安全性都依赖于第三方（即浏览器）来保障，从理论上来讲，这样并不是很安全。在部分情况下，攻击者可以隐藏，甚至修改自己请求的Referer。

　　前面说过，CSRF大多数情况下来自第三方域名，但并不能排除本域发起。如果攻击者有权限在本域发布评论（含链接、图片等，统称UGC），那么它可以直接在本域发起攻击，这种情况下同源策略无法达到防护的作用。

总结

　　同源验证是一个相对简单的防范方法，能够防范绝大多数的CSRF攻击。但这并不是万无一失的，对于安全性要求较高，或者有较多用户输入内容的网站，我们就要对关键的接口做额外的防护措施。

4.2 CSRF Token校验

　　CSRF的另一个特征是，攻击者无法直接窃取到用户的信息（Cookie，Header，网站内容等），仅仅是冒用Cookie中的信息。而CSRF攻击之所以能够成功，是因为服务器误把攻击者发送的请求当成了用户自己的请求。那么我们可以要求所有的用户请求都携带一个CSRF攻击者无法获取到的Token。服务器通过校验请求是否携带正确的Token来把正常的请求和攻击的请求区分开，这也可以防范CSRF的攻击。

　　基于CSRF Token的防护策略大致分为三个步骤：

1.将CSRF Token输出到页面中

　　首先，用户打开页面的时候，服务器需要给这个用户生成一个Token，该Token通过加密算法对数据进行加密，一般Token都包括随机字符串和时间戳的组合，显然在提交时Token不能再放在Cookie中了，否则又会被攻击者冒用。因此，为了安全起见Token最好还是存在服务器的Session中，之后在每次页面加载时，使用JS遍历整个DOM树，对于DOM中所有的a和form标签后加入Token。这样可以解决大部分的请求，但是对于在页面加载之后动态生成的HTML代码，这种方法就没有作用，还需要程序员在编码时手动添加Token。

2.页面提交的请求携带这个Token

　　对于GET请求，Token将附在请求地址之后，这样URL就变成 http://url?csrftoken=tokenvalue。而对于 POST请求来说，要在form的最后加上：

<input type="hidden" name="csrftoken" value="tokenvalue"/>

3.服务器验证Token是否正确

　　当用户从客户端得到了Token，再次提交给服务器的时候，服务器需要判断Token的有效性，验证过程是先解密Token，对比加密字符串以及时间戳，如果加密字符串一致且时间未过期，那么这个Token就是有效的。

　　这种方法要比之前检查Referer或者Origin要安全一些，Token可以在产生并放于Session之中，然后在每次请求时把Token从Session中拿出，与请求中的Token进行比对，但这种方法的比较麻烦的在于如何把Token以参数的形式加入请求。下面将以Java为例，介绍一些CSRF Token的服务端校验逻辑，代码如下：

HttpServletRequest req = (HttpServletRequest)request;
HttpSession s = req.getSession();
// 从sesion中得到csrftoken属性
String sToken = (String)s.getAttribute("csrftoken");
if(sToken == null){
    // 产生新的token放入session中
    sToken = generateToken();
    s.setAttribute("csrftoken",sToken);
    chain.doFilter(request,response);
}else{
    // 从HTTP头中取得csrftoken
    String xhrToken = req.getHeader("csrftoken");
    // 从请求参数中取得csrftoken
    String pToken = req.getParameter("csrftoken");
    if(sToken != null && xhrToken != null && sToken.equals(xhrToken)){
        chain.doFilter(request,response);
    }else if(sToken != null & pToken != null && sToken.equals(pToken)){
        chain.doFilter(request,response);
    }else{
        request.getRequestDispatcher("error.jsp").forward(request,response);
    }
}

总结

　　Token是一个比较有效的CSRF防护方法，只要页面没有XSS漏洞泄露Token，那么接口的CSRF攻击就无法成功。但是此方法的实现比较复杂，需要给每一个页面都写入Token（前端无法使用纯静态页面），每一个Form及Ajax请求都携带这个Token，后端对每一个接口都进行校验，并保证页面Token及请求Token一致。这就使得这个防护策略不能在通用的拦截上统一拦截处理，而需要每一个页面和接口都添加对应的输出和校验。这种方法工作量巨大，且有可能遗漏。

4.3 双重Cookie验证

　　在会话中存储CSRF Token比较繁琐，而且不能在通用的拦截上统一处理所有的接口。

　　那么另一种防御措施是使用双重提交Cookie。利用CSRF攻击不能获取到用户Cookie的特点，我们可以要求Ajax和表单请求携带一个Cookie中的值。　　

　　双重Cookie采用以下流程：

在用户访问网站页面时，向请求域名注入一个Cookie，内容为随机字符串（例如csrfcookie=v8g9e4ksfhw）。
在前端向后端发起请求时，取出Cookie，并添加到URL的参数中（接上例POST https://www.a.com/comment?csrfcookie=v8g9e4ksfhw）。
后端接口验证Cookie中的字段与URL参数中的字段是否一致，不一致则拒绝。

　　此方法相对于CSRF Token就简单了许多。可以直接通过前后端拦截的的方法自动化实现。后端校验也更加方便，只需进行请求中字段的对比，而不需要再进行查询和存储Token。

　　当然，此方法并没有大规模应用，其在大型网站上的安全性还是没有CSRF Token高，原因我们举例进行说明。

　　由于任何跨域都会导致前端无法获取Cookie中的字段（包括子域名之间），于是发生了如下情况：

如果用户访问的网站为www.a.com，而后端的api域名为api.a.com。那么在www.a.com下，前端拿不到api.a.com的Cookie，也就无法完成双重Cookie认证。
于是这个认证Cookie必须被种在a.com下，这样每个子域都可以访问。
任何一个子域都可以修改a.com下的Cookie。
某个子域名存在漏洞被XSS攻击（例如upload.a.com）。虽然这个子域下并没有什么值得窃取的信息。但攻击者修改了a.com下的Cookie。
攻击者可以直接使用自己配置的Cookie，对XSS中招的用户再向www.a.com下，发起CSRF攻击。