跨站请求伪造攻击基本原理与防范.docVIP

跨站请求伪造攻击基本原理与防范 　　摘要：文章介绍了跨站请求伪造攻击的基本情况，并以两种常见的场景作为讲解的范例，分析了该类攻击的主要原理与产生条件。针对跨站请求伪造攻击的主要目标和所利用的漏洞，重点介绍了5种不同的防范方法，并简单的说明5种方法各自的优劣之处。为Web应用系统的安全防范和设计提供参考。 　　关键词：跨站请求伪造；会话劫持；安全防范 　　中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）05-0902-03 　　The Basic Principles and Prevention of Cross-site Request Forgery Attacks 　　CHEN Chun-yan 　　（Dept. of Information and Culture， Guangzhou Municipal Vocational School， Guangzhou 510507， China） 　　Abstract： This paper introduces the basic situation of cross-site request forgery attacks （CSRF）， analyzes the main principles and conditions of the CSRF with two common scenarios as examples. Focuses on five different prevention methods according to the main target and vulnerabilities of the CSRF， and explaining their strengths and weaknesses of 5 ways. Provide a reference for designing Web applications and systems security. 　　Key words： CSRF； Session hijacking； Security 　　1 跨站请求伪造简介 　　跨站请求伪造（Cross Site Request Forgery，简称CSRF），也被称为“one click attack”或“session riding”。跨站请求伪造与目前非常流行的安全漏洞“跨站脚本攻击（Cross Site Scripting）”名字上有点相似，但它与XSS的攻击方法完全不一样。XSS利用漏洞影响站点内的用户，攻击目标是同一站点内的用户者，而CSRF通过伪装成受害用户发送恶意请求来影响Web系统中受害用户的利益。 　　CSRF的形成是因为攻击者较容易猜测某些Web应用一个特定敏感操作的所有细节（若是开源项目，则更直接找到关键操作的漏洞细节）。利用浏览器能保存会话cookie等凭证，并会自动发送的特点，攻击者可以创建一个恶意web页面生成伪造请求，再利用社会工程学的手段蛊惑受害者进行操作，从而在被攻击Web应用上伪装成受害者进行的特定敏感操作，如修改密码、通信方式甚至转账等。 　　CSRF不像XSS那么广为人知，但在OWASP 2013公布的10大Web应用安全威胁中，跨站请求伪造依然位居第8位，依然是一个不可忽略的严重安全漏洞。又因为CSRF比XSS更难以防范，且更具危险性，所以CSRF也被称为“沉睡的巨人”。 　　2 跨站请求伪造的场景 　　跨站请求伪造攻击可以在以受害者名义伪造请求并发送给受攻击的站点，这样就能以受害者的身份和权限执行一些特殊敏感的操作，但这一切受害者是毫不知情的。例如： 　　Tom登录了一个银行网站affectedB，并没有退出。 　　黑客Jerry知道affectedB的转账功能有CSRF漏洞。于是Jerry在大型社交网站中发表一张帖子，在帖子中Jerry插入一行类似的html代码 　　Tom在浏览器的另外一个标签页中查看Jerry的这条消息 　　Tom的浏览器将Jerry伪造的转账请求发送给affectedBank，从而转出1000元到Jerry的账户。 　　流程如图1所示。 　　上述例子当中的转账操作是通过GET请求方式执行，在实际中可能会更多使用POST的方式。受攻击站点只接纳使用POST方式请求，表面上已经不能直接将伪造请求包装在其他网站中，但黑客仍然可以使用重定向的方式将社交网站中GET的请求指向一个封装POST的页面，从而实现POST请求组合与提交。 　　在上述例子中进行一些扩展： 　　A. Jerry在自己控制的站点中构造一个页面Redirector.php。将使得外部通过GET请求Redirector.php而来的参数在页面中重新组合出表单的内容，再通过页面内