后端安全：跨站请求伪造(CSRF)防护技术：Referer检查.docxVIP

PAGE1

PAGE1

后端安全：跨站请求伪造(CSRF)防护技术：Referer检查

1理解CSRF攻击

1.1CSRF攻击原理

跨站请求伪造（Cross-SiteRequestForgery，简称CSRF）是一种攻击方式，它利用合法用户的凭证（如Cookie）在用户不知情的情况下，通过第三方网站发送恶意请求到目标网站，从而执行非用户本意的操作。CSRF攻击之所以能够成功，主要是因为Web浏览器在发送请求时，会自动包含任何与请求URL相关的Cookie，这使得攻击者能够利用用户的会话信息，即使用户已经登录了目标网站。

1.1.1攻击流程

用户登录：用户登录到目标网站，浏览器存储了网站的Cookie。

访问恶意网站：用户在不知情的情况下访问了包含恶意代码的第三方网站。

恶意请求：恶意网站利用用户的Cookie，构造并发送一个请求到目标网站，这个请求看起来像是用户主动发起的。

执行操作：目标网站接收到请求后，由于请求中包含了正确的Cookie，网站认为这是合法用户发出的请求，因此执行了请求中的操作，如转账、更改密码等。

1.1.2为何有效

CSRF攻击之所以有效，是因为它利用了Web应用对用户身份的默认信任。Web应用通常基于Cookie来识别用户，而浏览器在发送请求时会自动包含所有相关的Cookie，这为攻击者提供了利用的窗口。此外，由于请求看起来像是用户主动发起的，因此很难被传统的安全机制（如防火墙）检测到。

1.2CSRF攻击示例

假设有一个银行网站，用户登录后可以进行转账操作。该网站的转账操作可以通过发送一个POST请求到/transfer端点来完成，请求中需要包含转账金额和目标账户信息。下面是一个CSRF攻击的示例，攻击者通过构建一个恶意的HTML页面，当用户访问时，自动发送一个转账请求到银行网站。

!--恶意网站的HTML代码--

!DOCTYPEhtml

html

head

titleCSRFAttackDemo/title

/head

body

h1这是一个恶意网站/h1

p当您登录银行网站后访问此页面，您的账户可能会被非法转账。/p

imgsrc=/image.jpg

onerror=this.src=/transfer?amount=1000to=attacker_account

/body

/html

1.2.1解释

在这个示例中，攻击者利用了img标签的onerror事件来触发一个恶意请求。当浏览器尝试加载image.jpg但失败时，onerror事件将被触发，此时浏览器会发送一个GET请求到/transfer?amount=1000to=attacker_account。由于用户已经登录银行网站，浏览器会自动包含与银行网站相关的Cookie，这使得银行网站认为请求是合法用户发出的，从而执行转账操作。

1.2.2防护措施

为了防止此类攻击，银行网站可以实施Referer检查。在处理请求时，检查HTTP请求头中的Referer字段，确认请求是否来自预期的网站。如果Referer字段不匹配，请求将被拒绝。

#Python示例代码：使用Flask框架进行Referer检查

fromflaskimportFlask,request,abort

app=Flask(__name__)

@app.route(/transfer,methods=[POST])

deftransfer():

#检查Referer头是否来自银行网站

ifrequest.headers.get(Referer)!=:

abort(403)#如果Referer不匹配，返回403Forbidden错误

#如果Referer匹配，继续处理转账请求

amount=request.form[amount]

to_account=request.form[to]

#执行转账操作

#...

returnTransfersuccessful

1.2.3限制与挑战

尽管Referer检查可以提供一定程度的防护，但它并非万无一失。攻击者可以通过多种方式绕过Referer检查，例如使用CORS（跨源资源共享）策略或在用户浏览器中执行JavaScript代码来构造请求。因此，除了Referer检查，还应该结合其他防护措施，如使用CSRF令牌、双重验证等，来增强网站的安全性。

1.2.4总结

CSRF攻击利用了Web应用对用户身份的默认信任，通过第三方网站发送恶意请求到目标网站，执行非用户本意的操作。实施Referer检查可以作为