說一說CSRF是什么及CSRF有什么用

今天來說一下關于CSRF是什么及CSRF有什么用這方面的一些訊息，不少朋友對于CSRF是什么及CSRF有什么用這方面的信息頗感興趣的。小編今天就為此整理一些相關的訊息，希望對有需要的朋友有所幫助。

CSRF(Cross-site request forgery)，中文名稱：跨站請求偽造，也被稱為：one click attack/session riding，縮寫為：CSRF/XSRF。

跨站請求偽造 Cross-site request forgery

跨站請求偽造(英語：Cross-site request forgery)，也被稱為 one-click attack 或者 session riding，通常縮寫為 CSRF 或者 XSRF， 是一種挾制用戶在當前已登錄的 Web 應用程序上執(zhí)行非本意的操作的攻擊方法。跟跨網(wǎng)站腳本(XSS)相比，XSS 利用的是用戶對指定網(wǎng)站的信任，CSRF 利用的是網(wǎng)站對用戶網(wǎng)頁瀏覽器的信任。

跨站請求攻擊，簡單地說，是攻擊者通過一些技術手段欺騙用戶的瀏覽器去訪問一個自己曾經(jīng)認證過的網(wǎng)站并運行一些操作(如發(fā)郵件，發(fā)消息，甚至財產(chǎn)操作如轉賬和購買商品)。由于瀏覽器曾經(jīng)認證過，所以被訪問的網(wǎng)站會認為是真正的用戶操作而去運行。這利用了 web 中用戶身份驗證的一個漏洞：簡單的身份驗證只能保證請求發(fā)自某個用戶的瀏覽器，卻不能保證請求本身是用戶自愿發(fā)出的。

CSRF 可以做什么

你這可以這么理解 CSRF 攻擊：攻擊者盜用了你的身份，以你的名義發(fā)送惡意請求。CSRF 能夠做的事情包括：以你名義發(fā)送郵件，發(fā)消息，盜取你的賬號，甚至于購買商品，虛擬貨幣轉賬……造成的問題包括：個人隱私泄露以及財產(chǎn)安全。

CSRF 漏洞現(xiàn)狀

CSRF 這種攻擊方式在 2000 年已經(jīng)被國外的安全人員提出，但在國內(nèi)，直到 06 年才開始被關注，08 年，國內(nèi)外的多個大型社區(qū)和交互網(wǎng)站分別爆出 CSRF 漏洞，如：NYTimes.com(紐約時報)、Metafilter(一個大型的 BLOG 網(wǎng)站)，YouTube 和百度 HI……而現(xiàn)在，互聯(lián)網(wǎng)上的許多站點仍對此毫無防備，以至于安全業(yè)界稱 CSRF 為“沉睡的巨人”。

防御措施

檢查 Referer 字段

HTTP 頭中有一個 Referer 字段，這個字段用以標明請求來源于哪個地址。在處理敏感數(shù)據(jù)請求時，通常來說，Referer 字段應和請求的地址位于同一域名下。以上文操作為例，Referer 字段地址通常應該是轉賬按鈕所在的網(wǎng)頁地址，應該也位于 www.leiue.com 之下。而如果是 CSRF 攻擊傳來的請求，Referer 字段會是包含惡意網(wǎng)址的地址，不會位于 www.leiue.com 之下，這時候服務器就能識別出惡意的訪問。

這種辦法簡單易行，工作量低，僅需要在關鍵訪問處增加一步校驗。但這種辦法也有其局限性，因其完全依賴瀏覽器發(fā)送正確的 Referer 字段。雖然 http 協(xié)議對此字段的內(nèi)容有明確的規(guī)定，但并無法保證來訪的瀏覽器的具體實現(xiàn)，亦無法保證瀏覽器沒有安全漏洞影響到此字段。并且也存在攻擊者攻擊某些瀏覽器，篡改其 Referer 字段的可能。

添加校驗 token

由于 CSRF 的本質(zhì)在于攻擊者欺騙用戶去訪問自己設置的地址，所以如果要求在訪問敏感數(shù)據(jù)請求時，要求用戶瀏覽器提供不保存在 cookie 中，并且攻擊者無法偽造的數(shù)據(jù)作為校驗，那么攻擊者就無法再運行 CSRF 攻擊。這種數(shù)據(jù)通常是窗體中的一個數(shù)據(jù)項。服務器將其生成并附加在窗體中，其內(nèi)容是一個偽隨機數(shù)。當客戶端通過窗體提交請求時，這個偽隨機數(shù)也一并提交上去以供校驗。

正常的訪問時，客戶端瀏覽器能夠正確得到并傳回這個偽隨機數(shù)，而通過 CSRF 傳來的欺騙性攻擊中，攻擊者無從事先得知這個偽隨機數(shù)的值，服務端就會因為校驗 token 的值為空或者錯誤，拒絕這個可疑請求。

以上就是關于CSRF是什么及CSRF有什么用這方面的一些信息了 小編整理的這些訊息希望對童鞋們有所幫助