简介
CSRF的全称是跨站伪造请求攻击,也被称为“One Click Attack”或者Session Riding,通常缩写为CSRF或者XSRF,是一种对网站的恶意利用。
尽管听起来像跨站脚本(XSS),但它与XSS非常不同,XSS利用站点内的信任用户,而CSRF则通过伪装成受信任用户的请求来利用受信任的网站。与XSS攻击相比,CSRF攻击往往不大流行(因此对其进行防范的资源也相当稀少)和难以防范,所以被认为比XSS更具危险性。
本段摘录自百度百科
攻击流程
说明
这里有3个身份: 正常用户(浏览器)、被攻击网站A、攻击网站B
- 用户通过浏览器访问网站A, 输入用户名和密码
- 网站A检测到登录信息合法,响应身份认证Cookie到用户端
- 用户此时访问网站B,网站B构造攻击请求(这个链接是A网站的合法链接,网站B将其构造成能对网站A做发垃圾帖、恶意回复等的事件,本质上就是在用户不知情的情况下,利用已经网站A认证的用户信息发起攻击)
- 用户在不知情的情况下带着合法的cookie(浏览器会自动携带同域下的cookie)访问网站A的链接,做了网站B构造的事情
流程图
防御
- 检测请求头中的
referer
-
避免全站通用的
cookie
,严格设置cookie
的域 -
表单提交必须携带csrf token(具体参照请laravel CSRF 保护章节)
-
用户提交请求时使用验证码验证身份
每个请求都做验证码做验证,用户体验太差,所以局限性也蛮高的
-
服务端响应时禁止第三方网站携带 cookie 访问,由浏览器做处理,支持度不够
Set-Cookie: <cookie-name>=<cookie-value>; SameSite=Strict
-
切换认证方式,不使用
cookie
认证,使用jwt认证之类的技术代替