跨站请求伪造 (CSRF)
跨站请求伪造 (CSRF)
跨站请求伪造 (CSRF)，也被称为会话劫持，是一种网络安全攻击，其中恶意网站或电子邮件提示用户在另一个已认证的网站上执行不想要的动作。攻击利用用户与另一个网站的活跃会话来执行未经授权的命令，例如转账或更改设置。
关键概念和定义
CSRF 是一种安全漏洞，允许攻击者利用用户浏览器与他们已登录网站之间的信任。攻击者欺骗用户的浏览器代表用户向不同网站发送请求，而用户对此毫不知情或未经同意。
为了执行 CSRF 攻击，攻击者通常会向用户发送一个精心制作的链接或电子邮件。当用户点击该链接或与电子邮件互动时，他们的浏览器向目标网站发送请求，利用用户的活跃会话，并使目标网站代表用户执行某个动作。
恶意网站或电子邮件可能包含隐藏的表单、图像或 JavaScript 代码，这些会自动在目标网站上触发动作。由于请求来自用户的浏览器，目标网站将其视为合法请求，并执行请求的动作，而用户全然不知。
CSRF 如何运作
攻击的构建：攻击者创建一个恶意链接或电子邮件，看似无害或对用户有吸引力。包括伪造的登录页面或模仿热门服务的网站。
用户互动：用户点击精心制作的链接或与恶意邮件互动。这触发用户的浏览器向目标网站发送请求。
活跃会话利用：用户浏览器发送的请求包含用户的会话 Cookies 或认证凭证。由于用户的活跃会话，目标网站将请求视为合法并处理请求，执行攻击者指定的动作。
不想要的动作：目标网站代表用户执行一种动作，可能包括更改账户设置、进行欺诈交易，甚至删除用户数据。
预防措施
虽然 CSRF 攻击可能有害，但用户和网站所有者可以采取多种预防措施来降低风险：
网络应用防火墙：部署网络应用防火墙 (WAF) 可以帮助检测和过滤潜在的 CSRF 攻击。WAF 分析传入请求并可以阻止可疑或未经授权的请求。
反 CSRF 令牌：网站所有者可以实施反 CSRF 令牌来防御 CSRF 攻击。这些令牌是嵌入在每个用户请求中的唯一、可验证令牌。当提交表单或发出请求时，服务器会检查令牌以确保其与预期值匹配。如果令牌缺失或不正确，服务器拒绝请求。
退出重要账户：建议在访问重要账户或执行敏感操作时退出登录或使用不同的浏览器会话。这减少了 CSRF 攻击的风险，因为用户的活跃会话无法被恶意网站利用。
用户教育：提高用户的网络安全最佳实践意识和教育。用户在点击邮件中的链接时应谨慎，尤其是那些不熟悉或可疑的链接。重要的是在输入登录信息或执行敏感操作之前验证网站的真实性。
CSRF 攻击示例
银行转账：攻击者向用户发送一个恶意链接，声称是通往促销活动或特价优惠。当用户点击链接时，他们的浏览器向用户的在线银行网站发送请求，将资金转移到攻击者的账户。
设置更改：攻击者引诱用户访问其恶意网站。该站点包含隐藏的表单，一旦提交，就会修改用户在其他网站上的账户设定，例如更改电子邮件地址或密码。
社交媒体帖子：攻击者创建一个网站，自动在用户的社交媒体账户上发布内容，而用户毫不知情。当用户访问恶意网站时，他们的浏览器会在经过认证的社交媒体账户上触发发布动作。
相关术语
会话劫持：会话劫持是另一种攻击类型，攻击者获得未经授权的用户活跃会话。通过窃取会话 Cookies 或会话 ID，攻击者可以冒充用户并代表他们执行动作。
跨站脚本攻击 (XSS)：跨站脚本攻击 (XSS) 与 CSRF 类似，是将恶意脚本注入其他用户查看的网页。XSS 允许攻击者在易受攻击网站的上下文中代表受害者执行动作。