跨站点伪造（CSRF）

如果受害者用户访问了攻击者的网页，则会发生以下情况：beplay体育能用吗

• 攻击者的页面将触发HTTP请求到脆弱的网站。beplay体育能用吗
• 如果用户登录到脆弱的网站，则其浏览器将自动将其会话cookie包含在请求中（假设beplay体育能用吗Samesite cookie不使用）。
• 脆弱的网站将以正常方式处理请求beplay体育能用吗，将其视为受害者用户制作的请求，并更改其电子邮件地址。

如何构建CSRF攻击

手动创建CSRF利用所需的HTML可能很麻烦，尤其是在所需请求包含大量参数的情况下，或者请求中还有其他怪癖。构建CSRF利用的最简单方法是使用CSRF POC发生器这是内置的Burp Suite专业人士：

• 在Burp Suite Professional的任何地方选择要测试或利用的请求。
• 从右键单击上下文菜单中，选择参与工具 /生成CSRF POC。
• Burp Suite将生成一些HTML，这些HTML将触发所选请求（减去cookie，这将由受害者的浏览器自动添加）。
• 您可以在CSRF POC发生器中调整各种选项，以微调攻击方面。您可能需要在某些不寻常的情况下执行此操作，以处理请求的古怪功能。
• 将生成的HTML复制到网页中，以登录到脆弱网站的浏览器中查看，beplay体育能用吗并测试是否成功发出了预期的请求并发生所需的操作。

如何提供CSRF利用

跨站点伪造攻击的交付机制基本相同反映XSS。通常，攻击者将将恶意HTML放在他们控制的网站上，然后诱使受害者访问该网站。beplay体育能用吗这可能是通过通过电子邮件或社交媒体消息向用户馈送到网站的链接来完成的。beplay体育能用吗或者，如果将攻击放入流行的网站（例如，在用户评论中），他们可能只是等待用户访问该网站beplay体育能用吗。

请注意，一些简单的CSRF利用采用了GET方法，并且可以在脆弱网站上使用单个URL完全独立。beplay体育能用吗在这种情况下，攻击者可能不需要雇用外部站点，并且可以直接在弱势域中向受害者喂食恶意URL。在前面的示例中，如果可以使用GET方法执行更改电子邮件地址的请求，那么独立攻击将看起来像这样：

防止CSRF攻击

防御CSRF攻击的最强大方法是包括CSRF令牌在相关请求中。令牌应该是：

• 对于一般的会话令牌而言，不可预测的具有高熵。
• 与用户的会话绑在一起。
• 在执行相关操作之前，在每种情况下都严格验证。

另一种针对CSRF有效的额外防御，可以与CSRF令牌， 是Samesite cookie。

常见的CSRF漏洞

最有趣的CSRF漏洞是由于验证中的错误CSRF令牌。

在上一个示例中，假设该应用程序现在在更改用户电子邮件的请求中包含一个CSRF令牌：

这应该防止CSRF攻击，因为它违反了CSRF漏洞的必要条件：该应用程序不再仅依赖于cookie进行会话处理，并且该请求包含一个参数，其价值攻击者无法确定。但是，有多种方式可以破坏防御，这意味着该应用程序仍然容易受到CSRF的影响。

CSRF令牌的验证取决于请求方法

当请求使用Post方法时，某些应用程序正确验证了令牌，但是在使用GET方法时会跳过验证。

在这种情况下，攻击者可以切换到绕过验证并提供CSRF攻击的GET方法：

CSRF令牌的验证取决于令牌

某些应用程序在存在时正确验证令牌，但如果省略令牌，则会跳过验证。

在这种情况下，攻击者可以删除包含令牌（不仅仅是其值）的整个参数，以绕过验证并提供CSRF攻击：

CSRF令牌与用户会话没有绑定

某些应用程序未验证令牌与提出请求的用户相同的会话。取而代之的是，该应用程序保留了它已发行的全球代币池，并接受了该池中出现的任何令牌。

在这种情况下，攻击者可以使用自己的帐户登录应用程序，获取有效的令牌，然后在其CSRF攻击中向受害者用户提供代币。

CSRF代币与非课程饼干有关

在上述漏洞的变化中，某些应用程序确实将CSRF令牌与cookie联系在一起，但不是与用于跟踪会话的相同cookie。当应用程序采用两个不同的框架，一个用于会话处理，另一个用于CSRF保护时，很容易发生这种情况，这些框架没有集成在一起：

这种情况很难利用，但仍然很容易受到伤害。如果该网站包含beplay体育能用吗允许攻击者在受害者的浏览器中设置cookie的任何行为，则可以进行攻击。攻击者可以使用自己的帐户登录应用程序，获取有效的令牌和相关的曲奇，利用曲奇设定的行为将其cookie放入受害者的浏览器中，并在CSRF攻击中向受害者喂给受害者。

CSRF令牌只是在cookie中复制

在前面漏洞的进一步变化中，某些应用程序不保留已发行的代币的任何服务器端记录，而是在cookie和请求参数中复制每个令牌。当验证后续请求时，该应用程序简单地验证了请求参数中提交的令牌是否与Cookie中提交的值匹配。这有时称为针对CSRF的“双重提交”防御，并且被提倡，因为它易于实施并避免对任何服务器端状态的需求：

在这种情况下，如果网站包含任何cookie设置功能，攻击者可以再次执行CSRF攻击。beplay体育能用吗在这里，攻击者不需要获得自己的有效令牌。他们只是发明了一个令牌（如果要检查的话，也许以所需的格式），利用饼干设定的行为将饼干放入受害者的浏览器中，并在CSRF攻击中将其令牌送给受害者。

针对CSRF的基于参考者的防御

除了采用CSRF代币的防御措施外，某些应用程序利用了HTTP推荐人试图防御CSRF攻击的标题，通常是通过验证该请求源自申请自己的域名。这种方法通常效率较低，通常会绕过。

参考器的验证取决于标题存在

一些应用程序验证了推荐人标题在请求中存在时，但如果省略了标题，则跳过验证。

在这种情况下，攻击者可以以导致受害者用户的浏览器删除的方式制作其CSRF利用推荐人结果要求。有多种方法可以实现这一目标，但最简单的是在HTML页面中使用元件托管CSRF攻击的元标记：

可以规避推荐人的验证

一些应用程序验证了推荐人可以绕过的幼稚方式。例如，如果应用程序验证了该域中的域推荐人从期望值开始，然后攻击者可以将其作为其自身领域的子域：

同样，如果应用程序只是验证了推荐人包含其自己的域名，然后攻击者可以将所需值放置在URL中的其他位置：