什么是CSRF 攻击

CSRF(Cross-Site Request Forgery,跨站请求伪造)攻击是一种网络攻击手段,它利用合法用户的权限来执行非授权的操作。攻击者通过伪装成合法用户向Web应用程序发送请求,从而执行非预期的操作,如更改密码、转账等。CSRF攻击之所以能够成功,是因为攻击者可以利用用户的登录状态来发送请求,而服务器无法区分这些请求是由合法用户还是攻击者发起的。

CSRF攻击的工作原理

  1. 用户登录

    • 用户登录到一个网站,并且浏览器保存了网站的Cookie。
  2. 攻击者构建恶意链接

    • 攻击者构建一个包含恶意请求的URL,这个请求指向受害者的账户所在网站,并且包含一些预定义的操作,如转账、更改邮箱地址等。
  3. 用户点击恶意链接

    • 用户在不知情的情况下点击了包含恶意请求的URL。此时,用户的浏览器会自动附带上先前保存的Cookie(因为Cookie是自动发送的)。
  4. 请求发送到服务器

    • 包含恶意请求的HTTP请求被发送到了受害者的账户所在的网站,由于请求包含了正确的Cookie,所以服务器认为这是合法用户的请求。
  5. 服务器执行请求

    • 服务器根据请求的内容执行了相应的操作,如转账等。

如何防御CSRF攻击

防御CSRF攻击的关键是在服务器端采取措施,确保请求是用户主动发起的,而不是被恶意链接触发的。以下是一些常用的防御策略:

  1. 使用CSRF Token

    • 在表单中加入一个隐藏字段,包含一个随机生成的token。这个token应该在服务器端生成并在用户会话开始时存储在session中。每次提交表单时,都要求客户端提供这个token,并在服务器端验证这个token的有效性。
    html 复制代码
    <form action="/transfer" method="post">
      <input type="hidden" name="_csrf" value="some-random-token">
      <!-- 其他表单字段 -->
      <button type="submit">Transfer</button>
    </form>
  2. 验证Referer头

    • 服务器端可以检查HTTP请求的Referer头,确保请求来自预期的页面。但是这种方法并不总是可靠,因为Referer头可以被伪造。
  3. 双因素认证

    • 对于敏感操作,可以要求用户进行二次确认,如输入手机验证码、使用硬件令牌等。
  4. 限制请求频率

    • 对于特定的API端点,可以限制请求的频率,超出限制则拒绝服务。
  5. 使用HTTP-only Cookie

    • 设置HTTP-only标志,使得Cookie不能通过JavaScript访问,减少攻击面。
  6. SameSite Cookie属性

    • 使用SameSite属性来限制Cookie仅在原站点上下文内发送。设置SameSite=StrictSameSite=Lax可以帮助防止CSRF攻击。
  7. 教育用户

    • 提醒用户不要随便点击不明链接或附件,提高用户的网络安全意识。

示例:使用CSRF Token

假设你正在使用Node.js和Express框架构建一个Web应用,可以使用如下代码来实现CSRF防护:

javascript 复制代码
const express = require('express');
const csrf = require('csurf');
const session = require('express-session');

const app = express();
app.use(express.urlencoded({ extended: false }));
app.use(session({ secret: 'secret', resave: false, saveUninitialized: false }));
app.use(csrf()); // 使用CSRF中间件

app.use((req, res, next) => {
  res.locals.csrfToken = req.csrfToken(); // 将CSRF token传递给前端
  next();
});

app.get('/login', (req, res) => {
  res.render('login');
});

app.post('/login', (req, res) => {
  // 登录逻辑
});

app.get('/transfer', (req, res) => {
  res.render('transfer', { csrfToken: req.csrfToken() }); // 在模板中包含CSRF token
});

app.post('/transfer', (req, res) => {
  const { amount, csrf } = req.body;
  // 验证CSRF token
  if (!req.csrfToken(csrf)) {
    return res.status(403).send('Invalid CSRF token');
  }
  // 转账逻辑
  res.send('Transfer successful');
});

app.listen(3000, () => {
  console.log('Server is running on port 3000');
});

通过以上措施,可以有效地减轻CSRF攻击的风险。然而,任何安全措施都不是绝对的,因此需要综合多种手段来提高系统的安全性。

相关推荐
@小红花1 小时前
从0到1学习Vue框架Day03
前端·javascript·vue.js·学习·ecmascript
前端与小赵1 小时前
vue3中 ref() 和 reactive() 的区别
前端·javascript·vue.js
魔云连洲1 小时前
Vue的响应式底层原理:Proxy vs defineProperty
前端·javascript·vue.js
专注VB编程开发20年1 小时前
CSS定义网格的列模板grid-template-columns什么意思,为什么要用这么复杂的单词
前端·css
IT_陈寒1 小时前
Redis性能提升50%的7个关键优化策略,90%开发者都不知道第5点!
前端·人工智能·后端
Hilaku1 小时前
深入URL和URLSearchParams:别再用正则表达式去折磨URL了
前端·javascript·代码规范
pubuzhixing1 小时前
Canvas 的性能卓越,用它解决一个棘手问题
前端
weixin_456904271 小时前
Vue.jsmain.js/request.js/user.js/store/index.js Vuex状态管理项目核心模块深度解析
前端·javascript·vue.js
伍哥的传说1 小时前
Vue 3.6 Alien Signals:让响应式性能飞跃式提升
前端·javascript·vue.js·vue性能优化·alien-signals·细粒度更新·vue 3.6新特性
永日456702 小时前
学习日记-HTML-day51-9.9
前端·学习·html