看来我对CSRF的理解有误？

Question

读了很多关于CSRF的文档后，我还是有点困惑。所以我希望有人可以向我解释一下：

1. 假设我有一个仅适用于经过身份验证的用户的个人资料页面，例如 abc.com/profile，它显示了我所有的私人信息。如果我登录，然后转到“坏”网站，该网站是否可以以某种方式获取并解析我的个人资料页面？ （我做了一些经验，通过在不同的站点上打开firebug控制台，然后请求我的个人资料页面，看起来至少我可以在“Net”选项卡的“response”中看到全部内容，还没想到但也许这是可能的？） 假设

2. 现在假设我的个人资料页面上有一个表单，其中当然有 csrf 令牌。现在，如果攻击者可以获取我的 profule 页面，他可以解析该内容，获取令牌，然后提交伪造的表单？

3. 现在假设1和2是正确的，我应该怎样做才能防止这种情况发生？

Answer 1

你的观点不太正确......但是考虑这个场景。

示例攻击

---

假设用户登录到假国家官方银行 - GoodBank.com，并拥有 1,000,000 金币的余额。

在 MaliciousSite.com 上，有一个 或一些其他通用 JavaScript 会导致您向 GoodBank.com 发出请求。

的 src 为 http://www.goodbank.com/account/transfer.php?amount=10000&sentTo=malicioususer< /代码>。

---

现在，该网站已在您的用户帐户下发出了请求，并导致您调用了一个原本不会有的页面。

现在，您可能认为仅使用 POST 即可防止这种情况的发生，但这些也不安全。
正确的方法是在表单中使用 CSRF 令牌，提交表单时，您应该检查收到的 CSRF 令牌是否与发出的相同。

请勿使用这些措施来保护自己：

• 秘密 Cookie
• 仅接受 POST 请求
• 多页表单
• URL 重写

而是使用这样的令牌：

<form action="/transfer.do" method="post">
  <input type="hidden" name="CSRFToken" value="OWY4NmQwODE4ODRjN2Q2NTlhMmZlYWEwYzU1YWQwMTVhM2JmNGYxYjJiMGI4MjJjZDE1ZDZjMTVi
  MGYwMGEwOA==">
  …
  </form>

查看此处以获得详细说明：CSRF 备忘单

Answer 2

你的第一点不正确。
您无法在客户端上读取来自不同域的内容。

因此，恶意站点无法读取 CSRF 令牌。

您可以将请求发送到不同的域（这就是 CSRF 攻击的作用），但您无法读取响应。

Answer 3

这可能与所提出的问题没有直接关系，但需要指出跨站点脚本攻击可以为 CSRF 打开大门。即使用于防止 CSRF 的基于令牌的解决方案也可能受到 XSS 的损害。

采取以下场景。

用于更新用户信息的表单。

<script>
...
var userID=getUserId();//method makes AJAX call to get user ID
...
</script>
...
<form name="UpdateUserProfile">
   <input type='hidden' id='userId' value='userID_attacker_cannot_guess'>
   <input type='hidden' id='userName' value='goodUser'>
   <input type='hidden' id='email' value='[email protected]'>
    ...
 </form>

假设用户ID是唯一的并且不容易被猜到，我们可以在没有令牌的情况下阻止CRSF。（攻击者请求将无法获得正确的用户ID）。

但是，如果攻击者可以使用 XSS 攻击读取 userID 的值，那么他就可以制作伪造的请求以包含正确的用户 ID。

虽然 CSRF 攻击不需要 XSS，但它会让攻击变得更容易。

检查以下资源。

跨站请求伪造 (CSRF)-OWASP

跨站脚本 (XSS)-OWASP