CSRF

上一篇文章我们讲解了 [XSS 攻击案例](https://juejin.cn/post/7281971748253712439)。本文，我们来谈谈 `CSRF` - **跨站请求伪造**攻击。 ### CSRF 是什么 `CSRF` 是 `Hacker` 利用用户登录的身份凭证（即伪造），通过在用户不知知情的情况下（即跨过）发送恶意请求和执行未经授权的操作。 > `CSRF` 即 `Cross-Site Request Forgery`，跨站请求伪造。我们可以试想这么一个例子：你将私房钱放在了保险箱里面，保险箱只能通过你的拇指指纹才可以打开。某天，你的妻子端来一杯下了安眠药的水给你喝，趁你熟睡的时候，然后通过你的指纹打开了保险箱，取走了为数不多的小金库... ![CSRF 攻击.png](https://p1-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/1b47e5dbe9924af592b88198dbd41f48~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=1818&h=1000&s=125296&e=png&b=1e1e1e) ### CSRF 攻击案例下面，我们来简单演示下 `CSRF` 攻击，先做点前期准备。 > 案例的演示环境: > > `macOS Monterey` - **Apple M1** > > `node version` - **v14.18.1** > > `Visual Studio Code` 及其 `Live Server` 插件首先，我们添加个 `hostname`, 方便测试，当然你可以直接使用 `ip` 地址测试。通过 `sudo vim /etc/hosts` 添加 `127.0.0.1 a.example.com` 的映射： ![hosts添加映射.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/beac8410d3f04a1ab365d931be2b8be0~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=1140&h=742&s=161075&e=png&b=151115) 我们 `demo` 的场景是 `get` 接口转账。在登陆的情况下进行转账攻击。 ```javascript const Koa = require('koa'); const Router = require('koa-router'); const views = require('koa-views'); const path = require('path'); const bodyParser = require('koa-bodyparser'); const session = require('koa-session'); const app = new Koa(); const router = new Router(); app.use( views(path.join(__dirname, 'views'), { extension: 'ejs' }) ); app.use(bodyParser()); // session app.keys = ['secret']; app.use(session(app)); router.get('/', async (ctx) => { if(ctx.session.user) { await ctx.render('index'); } else { ctx.redirect('/login'); } }); router.get('/login', async (ctx) => { await ctx.render('login'); }) router.post('/api/login', async (ctx) => { const { username, password } = ctx.request.body; if(username === 'jimmy' && password === '123456') { ctx.session.user = { username, password }; ctx.body = { message: 'ok' } } else { ctx.body = { message: 'error' } } }) // use get method to transfer fund router.get('/api/fund/transfer', async (ctx) => { const { account, fund } = ctx.query; if(ctx.session.user) { ctx.body = { message: `Success! Transfer ${fund} to the account ${account}.` } } else { ctx.body = { message: 'please login.' } } }) app.use(router.routes()); app.listen(3000, () => { console.log("listening on http://localhost:3000"); }) ``` 上面接口 `/api/fund/transfer` 是使用 `get` 接口进行转账，当然，我们对登陆的用户才进行操作。当用户没有登陆的时候，会抛出异常。 ```html CSRF - Jimmy - Index

Welcome to be here.

``` ![csrf_attack_demo.gif](https://p6-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/e8f819b1e65b421a8dd0ecfa4cc2bbc9~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=910&h=364&s=32273&e=gif&f=40&b=fefefe) 但是，当用户登陆这个系统之后： ```html CSRF - Jimmy - Login

``` ![csrf_attack_login.gif](https://p9-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/1553b0c8ff82431fbf4b6c320c4ae279~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=910&h=364&s=86851&e=gif&f=85&b=fdfdfd) 上图，登陆成功并转账成功。那么我们伪造一个链接，比如： ``` 领取百万大奖 ``` 将其发送到你的邮箱上，然后刚好你登陆了系统，你点击了该链接，那么恭喜你，你中奖了： ![transfer_fund.png](https://p1-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/9202070fd45548e0b5f1bbd64e75ee43~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=918&h=375&s=41945&e=png&b=fefefe) 不知不觉就向账号 `456` 转账了 `10000` 元。 ![transfer_money.gif](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/fa2ccba7bf7f4dac9a38b2ddb122774c~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=410&h=641&s=8974480&e=gif&f=115&b=dbc8cf) 【该图片来源网络，侵删】 ### CSRF 预防 - **凭证失真**：代码设置凭证的有效期；或者人为操作，在不使用系统时候记得退出系统 - **关键步骤二次验证**：涉及敏感操作，比如金额转账操作，设置密码输入确认等 - **不允许记住密码**：电脑一般不是自己独有，登陆系统的时候，账号密码应该禁止浏览器记住 - etc. ### 参考 - [零基礎資安系列（一）-認識 CSRF（Cross Site Request Forgery）](https://tech-blog.cymetrics.io/posts/jo/zerobased-cross-site-request-forgery/) - [Cross site request forgery (CSRF) attack](https://www.imperva.com/learn/application-security/csrf-cross-site-request-forgery/)