2. 程式人生 > >CSRF spring mvc 跨站請求偽造防禦

CSRF spring mvc 跨站請求偽造防禦

阿新 • • 發佈：2019-02-15

CSRF
CSRF（Cross-site request forgery跨站請求偽造，也被稱為“One Click Attack”或者Session Riding，通常縮寫為CSRF或者XSRF，是一種對網站的惡意利用。儘管聽起來像跨站指令碼（XSS），但它與XSS非常不同，並且攻擊方式幾乎相左。XSS利用站點內的信任使用者，而CSRF則通過偽裝來自受信任使用者的請求來利用受信任的網站。與XSS攻擊相比，CSRF攻擊往往不大流行（因此對其進行防範的資源也相當稀少）和難以防範，所以被認為比XSS更具危險性。

攻擊示例
如：一個網站使用者Bob可能正在瀏覽聊天論壇，而同時另一個使用者Alice也在此論壇中，並且後者剛剛釋出了一個具有Bob銀行連結的圖片訊息。設想一下，Alice編寫了一個在Bob的銀行站點上進行取款的form提交的連結，並將此連結作為圖片src。如果Bob的銀行在cookie中儲存他的授權資訊，並且此cookie沒有過期，那麼當Bob的瀏覽器嘗試裝載圖片時將提交這個取款form和他的cookie，這樣在沒經Bob同意的情況下便授權了這次事務。
CSRF是一種依賴web瀏覽器的、被混淆過的代理人攻擊（deputy attack）。在上面銀行示例中的代理人是Bob的web瀏覽器，它被混淆後誤將Bob的授權直接交給了Alice使用。
下面是CSRF的常見特性：
依靠使用者標識危害網站
利用網站對使用者標識的信任
欺騙使用者的瀏覽器傳送HTTP請求給目標站點
另外可以通過IMG標籤會觸發一個GET請求，可以利用它來實現CSRF攻擊。

spring mvc 框架下防禦策略

思路概要：
1.初始化頁面時在token隱藏域。
2.表單提交後帶入token到後臺，驗證token，如成功繼續操否為受到攻擊。
3.操作完之後重新生成token到頁面隱藏域。
程式碼示例：
建立攔截器：

/**
 * <一句話功能簡述>
 * <功能詳細描述>
 * 防止跨站請求偽造攔截器
 * 為每個返回的頁面新增CSRFToken引數
 * @author  Tangguilin
 * @version  [版本號, 2016年3月26日]
 */
public class AvoidCSRFInterceptor
 
 extends HandlerInterceptorAdapter
{
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)
        throws Exception
    {
        String url = request.getRequestURI();
        if (!url.endsWith(".do"))
        {
            return true;
        }
        HandlerMethod handlerMethod = (HandlerMethod)handler;
        Method method = handlerMethod.getMethod();
        VerifyCSRFToken annotation = method.getAnnotation(VerifyCSRFToken.class);
        if
 
 (annotation != null)
        {
            String xrq = request.getHeader("X-Requested-With");//是否為Ajax標誌
            //非法的跨站請求校驗
            if (annotation.verifyCSRFToken() && !verifyCSRFToken(request))
            {
                if (StringUtil.isEmpty(xrq))
                {
                    //form表單提交，url get方式，重新整理csrftoken並跳轉提示頁面
                    request.getSession(false).setAttribute("CSRFToken",
                        TokenProcessor.getInstance().generateToken(request));
                    response.setContentType("application/json;charset=UTF-8");
                    PrintWriter out = response.getWriter();
                    out.print("非法請求");
                    response.flushBuffer();
                    return false;
                }
                else
                {
                    //重新整理CSRFToken，返回錯誤碼，用於ajax處理，可自定義
                    BaseDataResp baseResp = new BaseDataResp();
                    String csrftoken = TokenProcessor.getInstance().generateToken(request);
                    request.getSession(false).setAttribute("CSRFToken", csrftoken); 
                    baseResp.setCode(IDiMengResultCode.SystemManager.CSRF);
                    response.setContentType("application/json;charset=UTF-8");
                    PrintWriter out = response.getWriter();
                    out.print(baseResp.toString());
                    response.flushBuffer();
                    return false;
                }
            }

        }
        return true;
    }

    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler,
        ModelAndView modelAndView)
            throws Exception
    {

        String url = request.getRequestURI();
        if (!url.endsWith(".do"))
        {
            return;
        }

        //第一次生成token
        if (modelAndView != null)
        {
            if (request.getSession(false) == null
                || StringUtil.isEmpty((String)request.getSession(false).getAttribute("CSRFToken")))
            {
                request.getSession(false).setAttribute("CSRFToken",
                    TokenProcessor.getInstance().generateToken(request));
                return;
            }
        }
        //重新整理token
        HandlerMethod handlerMethod = (HandlerMethod)handler;
        Method method = handlerMethod.getMethod();
        RefreshCSRFToken refreshAnnotation = method.getAnnotation(RefreshCSRFToken.class);
        String xrq = request.getHeader("X-Requested-With");//是否為Ajax標誌
        if (refreshAnnotation != null && refreshAnnotation.refreshCSRFToken() && StringUtil.isEmpty(xrq))
        {
            request.getSession(false).setAttribute("CSRFToken", TokenProcessor.getInstance().generateToken(request));
            return;
        }
        VerifyCSRFToken verifyAnnotation = method.getAnnotation(VerifyCSRFToken.class);
        if (verifyAnnotation != null)
        {
            //成功後重新整理token
            if (verifyAnnotation.verifyCSRFToken())
            {
                if (StringUtil.isEmpty(xrq))
                {
                    request.getSession(false).setAttribute("CSRFToken",
                        TokenProcessor.getInstance().generateToken(request));
                }
                else
                {
                    Map<String, String> map = new HashMap<String, String>();
                    map.put("CSRFToken", TokenProcessor.getInstance().generateToken(request));
                    response.setContentType("application/json;charset=UTF-8");
                    OutputStream out = response.getOutputStream();
                    out.write((",'csrf':" + JSONObject.toJSONString(map) + "}").getBytes("UTF-8"));
                }
            }
        }
    }

    /** <一句話功能簡述>
     * 處理跨站請求偽造
     * 針對需要登入後才能處理的請求,驗證CSRFToken校驗
     * @author  tangguilin
     * @param request
     */
    protected boolean verifyCSRFToken(HttpServletRequest request)
    {
        String requstCSRFToken = request.getHeader("CSRFToken");//請求中的CSRFToken
        if (StringUtil.isEmpty(requstCSRFToken))
        {
            return false;
        }
        String sessionCSRFToken = (String)request.getSession().getAttribute("CSRFToken");
        if (StringUtil.isEmpty(sessionCSRFToken))
        {
            return false;
        }
        return requstCSRFToken.equals(sessionCSRFToken);
    }
}

註解類：

/**
 * 跨站請求仿照註解
 * 重新整理CSRFToken
 * @author  Tangguilin
 * @version  [版本號, 2016年3月28日]
 */
@Target({java.lang.annotation.ElementType.METHOD})
@Retention(RetentionPolicy.RUNTIME)
public @interface RefreshCSRFToken
{
    /** 
     * 重新整理CSRFToken
     * @author tangguilin
     * @return
     */
    public abstract boolean refreshCSRFToken();
}

/**
 * 跨站請求仿照註解
 * 
 * @author  Tangguilin
 * @version  [版本號, 2016年3月28日]
 */
@Target({java.lang.annotation.ElementType.METHOD})
@Retention(RetentionPolicy.RUNTIME)
public @interface VerifyCSRFToken
{
    /** 
     * 需要驗證防跨站請求
     * @author tangguilin
     * @return
     */
    public abstract boolean verifyCSRFToken();

}

配置攔截：

   <mvc:interceptors>   
        <mvc:interceptor>  
            <mvc:mapping path="/**"/> 
            <!-- 定義在mvc:interceptor下面的表示是對特定的請求才進行攔截的 -->  
           <bean class="com.front.interceptor.AvoidCSRFInterceptor"/>  
        </mvc:interceptor>  
    </mvc:interceptors>

在jsp頁面中新增隱藏域

 <input type="hidden" name="CSRFToken" value="${CSRFToken }"></input>

修改公用Ajax

 ajax: function(options) {
            var datas = null;
            if (options["isAjaxForm"]) {
                $("#" + options["formId"]).submit();
            } else {
                if (options["serialize"]) {
                    if (options["formId"]) {
                        datas = $("#" + options["formId"]).serialize();
                    } else {
                        datas = $(document.forms[0]).serialize();
                    }
                }
                var defaultOptions = {
                    type: "post",
                    async: false,
                    data: datas
                };
                options = $.extend(defaultOptions, options);
                var path="";
                if(options["url"].indexOf(basePath)==-1){
                    path=basePath;
                }
                var headers = {};
                headers['CSRFToken'] = $("input[name='CSRFToken']").val();
                $.ajax({
                    type: options["type"],
                    headers: headers,
                    async: options["async"],
                    dataType: options["dataType"],
                    url: path + options["url"],
                    data: options["data"],
                    success: function(data) {
                        //登入超時重新整理頁面後跳轉首頁
                        if("2000062"==data.code){
                            window.location.reload();
                        }
                        //處理跨站請求偽造
                        if("666666" == data.code){
                            if(Dialog){
                                Dialog.show("操作失敗，請重新整理頁面重試","error");
                            }else{
                                alert("操作失敗，請重新整理頁面重試");
                            }
                            return false;
                        }
                        if (typeof(options["success"]) == "function") {
                            options["success"](data);
                        }
                    },
                    error: function(data) {
                        //CSRFToken處理
                        if(data && data.readyState && data.readyState == '4'){
                            var responseBody = data.responseText;
                            if(responseBody){
                                responseBody = "{'retData':"+responseBody;
                                var resJson = eval('(' + responseBody + ')');
                                $("input[name='CSRFToken']").val(resJson.csrf.CSRFToken);
                                if (typeof(options["success"]) == "function") {
                                    options["success"](resJson.retData);
                                }
                            }
                            return ;
                        }
                        //登入超時跳轉登入頁
                        /*if(data.responseText){
                             window.location.reload();//重新整理當前頁面.
                            return;
                        }*/
                        if (typeof(options["error"]) == "function") {
                            options["error"](data);
                        }else{
                            alert("請求地址："+options["url"]+"  出現異常！請聯絡管理員！");
                        }

                    }
                });
            }
        }

使用場景
為需要防禦的Controller加上@VerifyCSRFToken(verifyCSRFToken = true)註解

@RefreshCSRFToken(refreshCSRFToken=true)：如新開啟的頁面，彈出框體需要CSRFToken時使用

相關推薦

CSRF spring mvc 跨站請求偽造防禦

CSRF CSRF（Cross-site request forgery跨站請求偽造，也被稱為“One Click Attack”或者Session Riding，通常縮寫為CSRF或者XSRF，是一種對網站的惡意利用。儘管聽起來像跨站指令碼（XSS

CSRF跨站請求偽造介紹和防禦方法

跨站請求偽造（CSRF） 概念 CSRF，全稱為Cross-Site Request Forgery，跨站請求偽造，是一種網路攻擊方式，它可以在使用者毫不知情的情況下，以使用者的名義偽造請求傳送給被攻擊站點，從而在未授權的情況下進行許可權保護內的操作。 具體來講，可以這

跨站請求偽造（CSRF） 漏洞原理詳解及防禦方法

注：轉載請註明出自：https://blog.csdn.net/qq_36711453/article/details/83714380 跨站請求偽造：攻擊者可以劫持其他使用者進行的一些請求，利用使用者身份進行惡意操作。 例如：請求http://x.com/del.php?id=1 是一個刪

跨站請求偽造（CSRF 漏洞原理詳解及防禦方法

跨站請求偽造：攻擊者可以劫持其他使用者進行的一些請求，利用使用者身份進行惡意操作。 例如：請求http://x.com/del.php?id=1 是一個刪除ID為1的賬號，但是隻有管理員才可以操作，如果攻擊者把這個頁面巢狀到其他網站中<img src= “http:

Spring security防止跨站請求偽造（CSRF防護）

因為使用了spring security 安全性框架 所以spring security 會自動攔截站點所有狀態變化的請求（非GET,HEAD,OPTIONS和TRACE的請求），防止跨站請求偽造（CSRF防護），即防止其他網站或是程式POST等請求本站點。 如果是POS

spring boot實戰之CSRF（跨站請求偽造）

CSRF（Cross-site request forgery）跨站請求偽造，也被稱為“One Click Attack”或者Session Riding，通常縮寫為CSRF或者XSRF，是一種對網站的惡意利用。攻擊通過在授權使用者訪問的頁面中包含連結或者

Python之路67-防CSRF跨站請求偽造

python目錄一、簡介二、應用三、官方示例一、簡介django為用戶實現防止跨站請求偽造的功能，通過中間件django.middleware.csrf.CsrfViewMiddleware來完成。而對於django中設置防跨站請求偽造功能有分為全局和局部。全局： 中間件 django.middlewa

跨站請求偽造CSRF

聊天 根據 oca 網站 mage 關閉瀏覽器 url 資金 action 轉載自：http://www.cnblogs.com/dolphinX/p/3403520.html CSRF是Cross Site Request Forgery的縮寫，乍一看和XSS差不多的樣子

Django-csrf跨站請求偽造

.com form表單提交 input 語法 渲染 serve o-c bsp es2017 方式一： 下列代碼插入ajax提交之$.ajaxSetup({ data: {csrfmiddlewaretoken: ‘{{ csrf_token }}‘ },

Ajax csrf跨站請求偽造

css 請求 cli 跨站請求偽造 html val scrip .html jquery 方式一： ///僅限js代碼在HTML內//// $.ajaxSetup({ data: {csrfmiddlewaretoken: ‘{{ csrf_token }}‘

Ajax--參數,csrf跨站請求偽造,serialize(),上傳文件formdata

chrome true multi 編碼格式 token static error res files https://cdn.bootcss.com/jquery-cookie/1.4.1/jquery.cookie.js. 一:參數,processData,conten

了解跨站請求偽造CSRF

.com coo cookie信息 身份驗證 參考 跨站 tps .html clas 參考以下兩篇文章： https://www.cnblogs.com/Erik_Xu/p/5481441.html https://www.cnblogs.com/4littleProgr

DVWA之跨站請求偽造（CSRF）

har 就會 之前 -s host 點擊 lang 不知道 string CSRF全稱是Cross site request forgery ,翻譯過來就是跨站請求偽造。 CSRF是指利用受害者尚未失效的身份認證信息（cookie，會話信息），誘騙其點擊惡意鏈接或者訪問包含

CSRF — 跨站請求偽造

也會 AR 原理 請求偽造 ros 表單提交 帶來 form form表單提交 csrf：跨站請求偽造（Cross Site Request Forgy） 攻擊原理：登陸受信任的網站A，並在本地生成cookie，在不登出網站A的情況下，訪問了網站B，網站B在用戶不知情的情況

CSRF跨站請求偽造

釣魚 bsp post請求 密碼 csrf 釣魚網站 遊戲網站 檢查 使用 CSRF（跨站請求偽造）也稱XSRF 作用：通過誘導已登陸重要站點的用戶向危險的鏈接進行訪問來模擬用戶的行為進行攻擊 根源：Web的隱式身份驗證機制雖然保證了請求來自於某個用戶的瀏覽器，卻無法保

Django框架 之 基於Ajax中csrf跨站請求偽造

set lin cells ret body div nta java val ajax中csrf跨站請求偽造 方式一 1 2 3 $.ajaxSetup({ data: {csrfmiddlewaretoken: ‘{{ csrf_token

三十三、python學習之Flask框架(五)模板:WTF表單、CSRF跨站請求偽造、模板特有函式&變數

一、WTF表單: 1.web表單: Web 表單是 Web 應用程式的基本功能。預設開啟CSRF保護功能 它是HTML頁面中負責資料採集的部件。表單有三個部分組成：表單標籤、表單域、表單按鈕。表單允許使用者輸入資料，負責HTML頁面資料採集，通過表單將使用者輸入的資料提交給伺服器

CSRF——跨站請求偽造

1、CSRF跨站請求偽造的流程 該過程存在三方：使用者客戶端、正常網站A、惡意攻擊網站B（前提存在CSRF漏洞）   1、使用者登陸了正常網站A輸入了相關的驗證資訊。   2、正常網站將cookie寫入瀏覽器，實現了狀態保持   3、使用者在未退出正常網站的情況下訪問了惡意網站

CSRF-跨站請求偽造

CSRF-跨站請求偽造 CSRF描述 CSRF全拼為Cross Site Request Forgery，譯為跨站請求偽造。借花獻佛、掛羊頭賣狗肉。 造成的問題：個人隱私洩露以及財產安全。 CSRF攻擊示意圖： 主要原因：   客戶端訪問伺服器時沒有同伺服器做安全驗證 防止

Django - CSRF（Cross-site request forgery 跨站請求偽造）

目錄 一、CSRF（Cross-site request forgery 跨站請求偽造） 1-1 CSRF 攻擊原理 1-3 CSRF 攻擊防範方式（主流的三種策略）  1-3-1 驗證HTTP Referer 欄位 1-3-2 在請求地址中新增token並驗證 1