ASP.NET MVC 防止 CSRF 的方法

阿新 • • 發佈：2019-01-12

MVC中的Html.AntiForgeryToken()是用來防止跨站請求偽造(CSRF:Cross-site request forgery)攻擊的一個措施,它跟XSS(XSS又叫CSS:Cross-Site-Script),攻擊不同,XSS一般是利用站內信任的使用者在網站內插入惡意的指令碼程式碼進行攻擊，而CSRF則是偽造成受信任使用者對網站進行攻擊。

舉個簡單例子，譬如整個系統的公告在網站首頁顯示，而這個公告是從後臺提交的，我用最簡單的寫法：

網站後臺(Home/Index頁面)設定首頁公告內容，提交到HomeController的Text Action

@using (Html.BeginForm("Text","Home",FormMethod.Post))
{
@:網站公告:<input type="text" name="Notice" id="Notice" />
<input type="submit" value="Submit" />
}

HomeController的Text Action

[HttpPost]
public ActionResult Text()
{
ViewBag.Notice = Request.Form["Notice"].ToString();
return View();
}

填寫完公告，提交，顯示

此時提供給了跨站攻擊的漏洞，CSRF一般依賴幾個條件

(1)攻擊者瞭解受害者所在的站點

(2)攻擊者的目標站點具有持久化授權cookie或者受害者具有當前會話cookie

(3)目標站點沒有對使用者在網站行為的第二授權此時

於是我新建一個AntiForgeryText.html檔案，內容如下：

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" >
<head>
    <title></title>
</head>
<body>
    <form name="badform" method="post" action="http://localhost:6060/Home/Text">
        <input type="hidden" name="Notice" id="Notice" value="你的網站被我黑了。。" />
        <input type="submit" value="黑掉這個網站" />
    </form>
</body>
</html>

在這個html中加了一個隱藏的欄位，Name和Id和網站要接收的引數名一樣。

我點選了“黑掉這個網站”，呈現如下

這個就是利用了漏洞把首頁的公告給改了，這就是一個簡單的跨站攻擊的例子。

MVC中通過在頁面上使用 Html.AntiForgeryToken()配合在對應的Action上增加[ValidateAntiForgeryToken]特性來防止跨站攻擊。

把上面的程式碼改成

@using (Html.BeginForm("Text","Home",FormMethod.Post))
{
@Html.AntiForgeryToken()
@:網站公告:<input type="text" name="Notice" id="Notice" />
<input type="submit" value="Submit" />
}

對應的Action

        [HttpPost]
        [ValidateAntiForgeryToken]
        public ActionResult Text()
        {
            ViewBag.Notice = Request.Form["Notice"].ToString();
            return View();
        }

這樣子我在AntiForgeryText.html中點"黑掉這個網站"，就會出現

這樣就防止了跨站攻擊。

頁面上的Html.AntiForgeryToken()會給訪問者一個預設名為__RequestVerificationToken的cookie
為了驗證一個來自form post，還需要在目標action上增加[ValidateAntiForgeryToken]特性，它是一個驗證過濾器，
它主要檢查

(1)請求的是否包含一個約定的AntiForgery名的cookie

(2)請求是否有一個Request.Form["約定的AntiForgery名"]，約定的AntiForgery名的cookie和Request.Form值是否匹配

其中主要涉及到System.Web.WebPages.dll中的靜態類AntiForgery
Html.AntiForgeryToken()呼叫了AntiForgery靜態類的GetHtml方法，它產生一個隨機值然後分別儲存到客戶端cookie和頁面的hidden field中，

(2)頁面上的hiddenfield

其中cookie的key的名字和頁面hidden field的名字是一樣的，預設都是"__RequestVerificationToken"，如果有提供ApplicationPath的話，那就是由"__RequestVerificationToken"和經過處理後的ApplicationPath組成。

Controller端則通過在Action上增加[ValidateAntiForgeryToken]特性來驗證，
ValidateAntiForgeryTokenAttribute繼承了FilterAttribute和IAuthorizationFilter，通過傳遞匿名委託方法，

委託呼叫AntiForgery類的Validate方法來實現驗證。

Validate方法中主要驗證Request.Cookies[antiForgeryTokenName]和<input name=antiForgeryTokenName ...>兩個的值是否相同，

如果頁面沒有<input name=antiForgeryTokenName ...>，或者兩個值不相等，就會丟擲異常。

使用該方法的缺點是：

1. 這種方法是依賴於 cookie的，如果客戶端禁止了 cookie ，那麼這種防範就會失效。

2. 該方法是對 post請求有效，對 Get 請求無效

3. 對於 AJAX請求，MVC 框架不會自動傳遞 cookie和隱藏域。需要自己實現傳輸和讀取。

ASP.NET MVC 防止 CSRF 的方法

ASP.NET MVC 防止 CSRF 的方法

ASP.NET MVC與CSRF（跨站腳本）攻擊

ASP.NET MVC防範CSRF最佳實踐

自定義ASP.NET MVC Html輔助方法

Asp.net MVC 如何防止CSRF攻擊

ASP.NET MVC 提高運行速度的幾種性能優化方法

asp.net MVC Views-----Controller傳遞數據方法

asp.net mvc 全局權限過濾器及繼成權限方法

ASP.NET MVC中為DropDownListFor設置選中項的方法

asp.net MVC 中 Session統一驗證的方法

[ASP.NET MVC] Controlle中的Aciton方法數據接收方式

.net異步性能測試（包括ASP.NET MVC WebAPI異步方法）

ASP.NET MVC頁面搜索功能實現(普通方法和使用Ajax)

【ASP.NET MVC系列】淺談表單和HTML輔助方法

在ASP.NET MVC中加載部分視圖的方法及差別

ASP.NET MVC計劃任務實現方法（定時執行某個功能）

如何在asp.net mvc中添加自定義的HTML輔助種方法

ASP.NET MVC中的路由IRouteConstraint方法應用實例

JWT+ASP.NET MVC 時間戳防止重放攻擊

Asp.net MVC Razor輸出字符串方法（js中嵌入razor）

ASP.NET MVC 防止 CSRF 的方法

相關推薦