CSRF与XSS：Web安全中的两大威胁 ​

在现代互联网应用中，网络安全问题始终是一个不可忽视的重要议题。其中，跨站请求伪造（CSRF）和跨站脚本（XSS）是两种最常见的安全漏洞，它们不仅能够窃取用户信息，还可能破坏整个系统的正常运行。本文将深入探讨这两种攻击方式的工作原理、实际案例以及防御方法。

什么是CSRF？ ​

定义 ​

跨站请求伪造（Cross-Site Request Forgery，简称CSRF）是一种网络攻击技术，攻击者通过诱使用户在已认证状态下执行非故意的敏感操作。简单来说，CSRF攻击是利用用户的浏览器向已登录的网站发送恶意请求。

工作原理 ​

1. 攻击条件：

   • 用户已经通过身份验证（如登录）。
   • 攻击者能够构造一个合法的请求（如转账、修改密码等）。
   • 浏览器自动携带用户的身份信息（如Cookie或Session）发送请求。

2. 常见场景：

   • 攻击者诱使用户点击恶意链接。
   • 在被攻击网站中嵌入隐藏的iframe或其他代码。

3. 示例： 假设用户已登录银行网站，攻击者构造一个包含转账请求的链接：

   html

   <img src="https://bank.com/transfer?to=hacker&amount=1000" />

   <img src="https://bank.com/transfer?to=hacker&amount=1000" />

   1
   

   当用户加载页面时，浏览器会自动发送请求，执行转账操作。

什么是XSS？ ​

定义 ​

跨站脚本（Cross-Site Scripting，简称XSS）是一种网络攻击技术，攻击者通过在网页中注入恶意脚本代码，窃取用户信息或破坏网站功能。这些脚本会在用户的浏览器中执行，具有用户的权限。

工作原理 ​

1. 攻击条件：

   • 网站未对用户输入进行过滤。
   • 恶意脚本被嵌入到网页的响应中。
   • 用户浏览该页面时，脚本在浏览器中执行。

2. 常见场景：

   • 攻击者通过评论、搜索框或其他表单注入恶意代码。
   • 脚本窃取用户的Cookie或会话信息。

3. 示例： 攻击者在论坛发表一条带有恶意脚本的评论：

   html

   <script>alert(document.cookie)</script>

   <script>alert(document.cookie)</script>

   1
   

   当用户查看该评论时，浏览器会弹出窗口显示用户的Cookie信息。

CSRF与XSS的区别 ​

CSRF攻击的实际案例 ​

案例：银行转账诈骗 ​

攻击者创建一个恶意链接，诱使用户点击。假设用户已登录银行网站：

<a href="https://bank.com/transfer?to=hacker&amount=1000">点击领取福利</a>

<a href="https://bank.com/transfer?to=hacker&amount=1000">点击领取福利</a>

当用户点击链接时，浏览器会自动发送转账请求，导致用户的资金被盗。

防御方法 ​

1. Token验证：

   • 网站为每个用户生成一个唯一的Token，并要求敏感操作中包含该Token。
   php

   if (isset($_POST['_token']) && $_POST['_token'] == $_SESSION['token']) {
       // 允许请求
   } else {
       // 拒绝请求
   }

   if (isset($_POST['_token']) && $_POST['_token'] == $_SESSION['token']) {
       // 允许请求
   } else {
       // 拒绝请求
   }

   1
   2
   3
   4
   5
   

2. 检查Referer来源：

   • 网站验证请求的来源是否为本站。
   php

   if (strpos($_SERVER['HTTP_REFERER'], $_SERVER['SERVER_NAME']) === false) {
       // 拒绝请求
   } else {
       // 允许请求
   }

   if (strpos($_SERVER['HTTP_REFERER'], $_SERVER['SERVER_NAME']) === false) {
       // 拒绝请求
   } else {
       // 允许请求
   }

   1
   2
   3
   4
   5
   

3. 使用CSRF保护工具：

   • 如OWASP CSRF Protect，自动检测和阻止恶意请求。

XSS攻击的实际案例 ​

案例：窃取用户Cookie ​

攻击者在某个论坛中发表评论：

<script>alert(document.cookie)</script>

<script>alert(document.cookie)</script>

当用户查看该评论时，浏览器会弹出窗口显示用户的Cookie信息，包括登录状态和会话ID。

防御方法 ​

1. 输入过滤：

   • 网站对用户输入进行HTML转义或过滤。
   php

   $comment = htmlspecialchars($_POST['comment'], ENT_QUOTES);

   $comment = htmlspecialchars($_POST['comment'], ENT_QUOTES);

   1
   

2. 使用Content Security Policy（CSP）：

   • 限制页面加载外部脚本，防止恶意代码执行。
   http

   Content-Security-Policy: script-src 'self';

   Content-Security-Policy: script-src 'self';

   1
   

3. 框架验证：

   • 使用X-Frame-Options头，防止网页被嵌入到其他网站中。
   http

   X-Frame-Options: DENY;

   X-Frame-Options: DENY;

   1
   

总结 ​

CSRF和XSS是Web安全中的两大常见威胁，它们分别利用了用户的认证状态和浏览器的执行环境来达到攻击目的。通过采取适当的防御措施（如Token验证、输入过滤和CSP），开发者可以有效降低这些风险。