HTML中ajax表单提交CSRF保护

除了检查被作为 POST 参数传递的 CSRF token 之外, VerifyCsrfToken 中间件也会检查请求标头中的 X-CSRF-TOKEN 。例如，你可以将其保存在 meta 标签中：

一旦你创建了 meta 标签，你就可以使用 jQuery 之类的函数库将 token 自动地添加到所有的请求头中。这简单、方便的为你的应用的 AJAX 提供了 CSRF 保护：

HTML form without CSRF protection =HTML表单没有CSRF保护 

CSRF是伪造客户端请求的一种攻击，CSRF的英文全称是Cross Site Request Forgery，字面上的意思是跨站点伪造请求。这种攻击方式是国外的安全人员于2000年提出，国内直到06年初才被关注，早期我们使用过CSRF攻击实现了DVBBS后台的SQL注射，同时网上也出现过动易后台管理员添加的CSRF漏洞等，08年CSRF攻击方式开始在BLOG、SNS等大型社区类网站的脚本蠕虫中使用。 

CSRF的定义是强迫受害者的浏览器向一个易受攻击的Web应用程序发送请求,最后达到攻击者所需要的 *** 作行为。CSRF漏洞的攻击一般分为站内和站外两种类型： 

CSRF站内类型的漏洞在一定程度上是由于程序员滥用$_REQUEST类变量造成的，一些敏感的 *** 作本来是要求用户从表单提交发起POST请求传参给程序，但是由于使用了$_REQUEST等变量，程序也接收GET请求传参，这样就给攻击者使用CSRF攻击创造了条件，一般攻击者只要把预测好的请求参数放在站内一个贴子或者留言的图片链接里，受害者浏览了这样的页面就会被强迫发起请求。 

CSRF站外类型的漏洞其实就是传统意义上的外部提交数据问题，一般程序员会考虑给一些留言评论等的表单加上水印以防止SPAM问题，但是为了用户的体验性，一些 *** 作可能没有做任何限制，所以攻击者可以先预测好请求的参数，在站外的Web页面里编写javascript脚本伪造文件请求或和自动提交的表单来实现GET、POST请求，用户在会话状态下点击链接访问站外的Web页面，客户端就被强迫发起请求。 

如何防止此类攻击: 

部署mdcsoft-ips,mdcsoft waf可彻底防御。

2021-11-24

跨站点请求伪造(Cross—Site Request Forgery)，伪装来自受信任用户的请求来利用受信任的网站。简单来说CSRF就是获取凭证伪造身份去做事。

详细点说：假如A网站中存在CSRF漏洞，攻击者构造一个利用的POC，发送给受害者(在浏览器中处于登陆状态)，让受害者点击POC，导致受害者在A网站上的的资料被修改或者钱财被转移。

所有用户进行 *** 作的位置都可能存在CSRF，修改信息、密码、头像。

1.利用浏览器中缓存的cookie

2.没有一次型的token验证

1.修改受害者的一些资料、转账或者改密码

2.如果获取到应用程序中的管理员cookie，攻击者完全可以控制应用的所有数据和功能

1.资源包含

资源包含是在大多数介绍CSRF概念的演示或基础课程中可能看到的类型。这种类型归结为控制HTML标签（例如<image>、<audio>、<video>、<object>、<script>等）所包含的资源的攻击者。如果攻击者能够影响URL被加载的话，包含远程资源的任何标签都可以完成攻击。

2.基于表单

通常在正确使用安全的请求方式时看到。攻击者创建一个想要受害者提交的表单其包含一个JavaScript片段，强制受害者的浏览器提交。

3.XMLHttpRequest

基于XHR的CSRF通常由于SOP而以XSS有效载荷的形式出现。没有跨域资源共享策略 (Cross-Origin Resource Sharing, CORS)，XHR仅限于攻击者托管自己的有效载荷的原始请求。

通过CSRF-token或者验证码来检测用户提交

验证 Referer/Content-Type

对于用户修改删除等 *** 作最好都使用POST *** 作

避免全站通用的Cookie，严格设置Cookie的域

https://shahmeeramir.com/methods-to-bypass-csrf-protection-on-a-web-application-3198093f6599

1.跨账户使用令牌

2.替换相同的长度

3.从请求中删除csrf token

4.解码CSRF token

5.通过HTML提取CSRF token

6.只使用token的静态部分

参考链接： https://websec.readthedocs.io/zh/latest/vuln/csrf.html

---