[[397856]]

CSRF（Cross-Site Request Forgery）跨站請求偽造攻擊。CSRF 是偽造請求，冒充用戶在站內的正常操作。我們知道，絕大多數網站是通過Cookie等方式辨識用戶身份（包括使用服務器端Session的網站，因為Session ID也是大多保存在Cookie里面的），再予以授權的。所以，要偽造用戶的正常操作，最好的方法是通過XSS或鏈接欺騙等途徑，讓用戶在本機（即擁有身份Cookie的瀏覽器端）發起用戶所不知道的請求。

CSRF這種攻擊方式在2000年已經被國外的安全人員提出，但在國內，直到2006年才開始被關注，2008年，國內外的多個大型社區和交互網站分別爆出 CSRF 漏洞，如NYTimes.com（紐約時報）、Metafilter（一個大型的博客網站）、Youtube和百度HI。

1. 分類

CSRF漏洞的攻擊一般分為站內和站外2種類型。

CSRF站內類型的漏洞在一定程度上是由于程序員濫用$_REQUEST類變量造成的，一些敏感的操作本來是要求用戶從表單提交發起 POST 請求傳參給程序，但是由于使用了$_REQUEST等變量，程序也接收GET請求傳參，這樣就給攻擊者使用CSRF攻擊創造了條件，一般攻擊者只要把預測好的請求參數放在站內一個帖子或留言的圖片鏈接里，受害者瀏覽了這樣的頁面就會被強迫發起請求。

CSRF 站外類型的漏洞其實就是傳統意義上的外部提交數據問題，一般程序員會考慮給一些留言評論等的表單加上水印以防止SPAM問題，但是為了用戶的體驗性，一些操作可能沒有做任何限制，所以攻擊者可以先預測好請求的參數，在站外的Web頁面里編寫Javascript腳本偽造文件請求或和自動提交的表單來實現GET、POST請求，用戶在會話狀態下單擊鏈接訪問站外的Web頁面，客戶端就被強迫發起請求。

2. 原理

CSRF的原理如圖1所示。

圖1  CSRF原理

這就相當于受害者需要在登錄A網站之后，再去訪問B網站，而B網站往往就是一些釣魚網站或詐騙網站。

3. 攻擊場景

可以用一個例子來說明CSRF的攻擊在生活中的應用。

如果銀行A允許以GET請求的形式來轉賬，這里大多指的不是實際生活中的，因為實際生活中銀行不可能只用GET請求轉賬。