目录

CSRF漏洞

深入研究

CSRF攻击常见于哪些类型的网站？

如何通过HTTP Referer头来防范CSRF攻击？

为什么设置Cookie的SameSite属性对预防CSRF有帮助？

导图

---

CSRF漏洞

CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种网络安全漏洞，攻击者利用用户已经登录的凭证，诱使用户在不知情的情况下执行恶意操作，例如更改密码、发送消息或执行其他敏感操作。CSRF攻击通常发生在用户已经登录了某个网站的情况下，攻击者在用户不知情的情况下利用用户的身份信息发送恶意请求，导致服务器误以为是用户发送的合法请求。

CSRF攻击的核心在于利用用户已经建立的认证状态。当用户登录一个网站后，该网站通常会存储一个认证Token或Cookie，以维护用户的登录状态。如果用户在登录状态下同时访问了攻击者的网站，这个网站就可以发起请求到目标网站，目标网站会误认为这是用户本人的操作，从而执行恶意请求。

防御CSRF攻击的方法包括使用随机生成的CSRF Token，并在服务器端验证该Token是否合法；验证HTTP Referer头，以确保请求来自可信的源；以及在HTTP头中自定义属性并验证，以确保请求是用户主动发起的。此外，设置Cookie的SameSite属性为Lax或Strict也可以有效防止跨站请求携带Cookie，特别是对于跨站GET请求，Lax模式就能提供很好的保护。

深入研究

CSRF攻击常见于哪些类型的网站？

CSRF攻击通常常见于以下类型的网站：

1. 社交媒体网站：这些网站允许用户发布内容，攻击者可以通过构造恶意链接或图片，利用用户的登录状态来执行非本意的操作，如发布不当内容。

2. 论坛和评论区：用户可以在这些平台上发表评论，攻击者可以通过在论坛或评论区嵌入恶意代码，诱导登录用户执行操作，如发送垃圾邮件或进行不当操作。

3. 银行和金融服务网站：这些网站提供转账、支付等功能，攻击者可能会利用CSRF攻击来转移用户的资金。

4. 电子商务网站：用户可以在这些网站上进行购物和交易，CSRF攻击可能导致用户在不知情的情况下购买商品或更改账户设置。

5. 内容管理系统（CMS）：攻击者可能会利用CSRF漏洞来修改网站内容或执行管理操作。

6. 企业和政府服务网站：这些网站提供各种在线服务，攻击者可能会利用CSRF漏洞来篡改用户数据或执行非法操作。

7. 任何允许用户执行状态改变请求的网站：只要网站的操作可以通过简单的HTTP请求（如GET或POST）来触发，且不需要额外的安全验证，就存在CSRF攻击的风险。

CSRF攻击的关键在于攻击者无法窃取用户的凭证（如Cookie），但可以“劫持”用户的浏览器，以用户的身份发送未授权的请求。因此，任何依赖于用户浏览器自动发送凭证的网站都可能成为CSRF攻击的目标。

如何通过HTTP Referer头来防范CSRF攻击？

通过HTTP Referer头来防范CSRF攻击的基本原理是，服务器会检查请求是否来自于自己信任的网站。在正常情况下，当用户在网站A上执行操作时，如点击链接或提交表单，浏览器会向服务器发送一个HTTP请求，并在请求头中包含一个Referer字段，该字段的值是发起请求的网页地址，即网站A的地址。服务器可以通过检查Referer字段来确认请求是否来自于自己的网站，从而防止CSRF攻击。

然而，Referer头可以被用户或中间人攻击者修改，因此它不是一个完全可靠的安全措施。攻击者可能会构造一个恶意网站，诱导用户点击链接或提交表单，并在请求中伪造Referer头，使其看起来像是来自于受害者信任的网站。

为了提高安全性，通常会结合使用Referer头和其他方法，如使用随机生成的令牌（CSRF token），并将其嵌入到表单中。服务器在接收请求时会验证令牌的有效性，确保请求是由用户在信任的网站上主动发起的。这种方法结合了Referer检查和令牌验证，可以提供更强的防御CSRF攻击的能力。

为什么设置Cookie的SameSite属性对预防CSRF有帮助？

设置Cookie的SameSite属性有助于预防跨站请求伪造（CSRF）攻击，因为SameSite属性可以控制Cookie在跨站请求中的发送行为。SameSite属性有三个可能的值：

• Strict：最严格的设置，禁止在第三方站点的请求中发送Cookie，即使是GET请求也不会携带Cookie。
• Lax：相对宽松，允许在某些类型的第三方站点请求中发送Cookie，例如用户点击链接或通过GET方法提交的表单。
• None：允许在所有情况下发送Cookie，但需要与Secure属性一起使用，确保Cookie只能通过HTTPS传输。

通过设置SameSite属性为Strict或Lax，可以有效减少CSRF攻击的风险，因为攻击者通常无法在用户不知情的情况下在第三方网站上设置和发送伪造的请求携带受害者网站的Cookie。这样，即使攻击者能够诱导用户点击链接或提交表单，由于Cookie不被发送，服务器也无法识别请求是由用户的合法操作还是由攻击者发起的，从而阻止了CSRF攻击。

导图