跨站请求伪造攻击的基本原理与防范

摘要：文章介绍了跨站请求伪造攻击的基本情况，并以两种常见的场景作为讲解的范例，分析了该类攻击的主要原理与产生条件。针对跨站请求伪造攻击的主要目标和所利用的漏洞，重点介绍了5种不同的防范方法，并简单的说明5种方法各自的优劣之处。为Web应用系统的安全防范和设计提供参考。

关键词：跨站请求伪造；会话劫持；安全防范

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）05-0902-03

The Basic Principles and Prevention of Cross-site Request Forgery Attacks

CHEN Chun-yan

（Dept. of Information and Culture， Guangzhou Municipal Vocational School， Guangzhou 510507， China）

Abstract： This paper introduces the basic situation of cross-site request forgery attacks （CSRF）， analyzes the main principles and conditions of the CSRF with two common scenarios as examples. Focuses on five different prevention methods according to the main target and vulnerabilities of the CSRF， and explaining their strengths and weaknesses of 5 ways. Provide a reference for designing Web applications and systems security.

Key words： CSRF； Session hijacking； Security

1 跨站请求伪造简介

跨站请求伪造（Cross Site Request Forgery，简称CSRF），也被称为“one click attack”或“session riding”。跨站请求伪造与目前非常流行的安全漏洞“跨站脚本攻击（Cross Site Scripting）”名字上有点相似，但它与XSS的攻击方法完全不一样。XSS利用漏洞影响站点内的用户，攻击目标是同一站点内的用户者，而CSRF通过伪装成受害用户发送恶意请求来影响Web系统中受害用户的利益。

CSRF的形成是因为攻击者较容易猜测某些Web应用一个特定敏感操作的所有細节（若是开源项目，则更直接找到关键操作的漏洞细节）。利用浏览器能保存会话cookie等凭证，并会自动发送的特点，攻击者可以创建一个恶意web页面生成伪造请求，再利用社会工程学的手段蛊惑受害者进行操作，从而在被攻击Web应用上伪装成受害者进行的特定敏感操作，如修改密码、通信方式甚至转账等。

CSRF不像XSS那么广为人知，但在OWASP 2013公布的10大Web应用安全威胁中，跨站请求伪造依然位居第8位，依然是一个不可忽略的严重安全漏洞。又因为CSRF比XSS更难以防范，且更具危险性，所以CSRF也被称为“沉睡的巨人”。

2 跨站请求伪造的场景