ASP.NET MVC 防止CSRF攻击

简介

MVC中的Html.AntiForgeryToken()是用来防止跨站请求伪造(CSRF:Cross-site request forgery)攻击的一个措施,它跟XSS(XSS又叫CSS:Cross-Site-Script),攻击不同,XSS一般是利用站内信任的用户在网站内插入恶意的脚本代码进行攻击，而CSRF则是伪造成受信任用户对网站进行攻击。

CSRF可以攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账......造成的问题包括：个人隐私泄露以及财产安全。

实例

我们新建一个简单的网站发布公告界面

@{
    Layout = null;
}

<!DOCTYPE html>

<html>
<head>
    <meta name="viewport" content="width=device-width" />
    <title>Index</title>
</head>
<body>
    @using (Html.BeginForm("Notice", "Home", FormMethod.Post))
    {
        @:网站公告:<input type="text" name="Notice" id="Notice" />
        <input type="submit" value="Submit" />
    }
</body>
</html>

提交后

此时提供给了跨站攻击的漏洞，CSRF一般依赖几个条件

(1)攻击者知道该目标站点。

(2)攻击者的目标站点具有持久化授权cookie或者受害者具有当前会话cookie

(3)目标站点没有对用户在网站行为的第二授权。

比如我们现在知道发布新闻的地址：http://localhost:56874/Home/Notice

比如我们新建一个页面

@{
    Layout = null;
}

<!DOCTYPE html>

<html>
<head>
    <meta name="viewport" content="width=device-width" />
    <title>Index</title>
</head>
<body>
    <form action="http://localhost:56874/Home/Notice" method="post">
        网站公告:<input type="text" name="Notice" id="Notice" />
        <input type="submit" value="Submit" />
    </form>
</body>
</html>

发起攻击

这样在网站的公告就被篡改了。作为安全性考虑，这种情况肯定不会让它发生的。

如何防止

ASP.NET MVC中通过在页面上使用 Html.AntiForgeryToken()配合在对应的Action上增加[ValidateAntiForgeryToken]特性来防止跨站攻击。

修改上面提交代码

@using (Html.BeginForm("Notice", "Home", FormMethod.Post))
    {
        @Html.AntiForgeryToken();
        @:网站公告:<input type="text" name="Notice" id="Notice" />
        <input type="submit" value="Submit" />
    }

[HttpPost]
        [ValidateAntiForgeryToken]
        public ActionResult Notice(string Notice)
        {
            ViewBag.Notice = Notice;
            return View();
        }

再次运行网站，界面没什么变化当我们查看源代码的时候发现多了一个东西

<input name="__RequestVerificationToken" type="hidden" value="oo1kDYx6CUL3YSyZHokvWgPzOcZhZID_75tiqYBgNMBBjQNo4FgmWpO5dRsVlvqIVgZH34FvTArCFbWKuDkCbwl5UFOAxzxmaTwuQ9iBBHY1" />

现在当我们再次篡改数据的时候

我们看一下Html.AntiForgeryToken()会为当前请求，生成一个名为__RequestVerificationToken的cookie，还有一个名为__RequestVerificationToken的隐藏域。

为了验证一个来自form post请求，还需要在目标action上增加[ValidateAntiForgeryToken]特性，它是一个验证过滤器，它主要检查

(1)请求的是否包含一个约定的AntiForgery名的cookie

(2)请求是否有一个Request.Form["约定的AntiForgery名"]，约定的AntiForgery名的cookie和Request.Form值是否匹配

Ajax如何CSRF攻击

在Asp.net Mvc里加入防伪标记很简单在表单中加入Html.AntiForgeryToken()即可。

Html.AntiForgeryToken()会生成一对加密的字符串，分别存放在Cookies 和 input 中。

我们在ajax post中也带上AntiForgeryToken

<head>
    <meta name="viewport" content="width=device-width" />
    <title>Index</title>
    <script src="~/Script/jquery-1.10.2.min.js"></script>
</head>
<body>
    <form>
        网站公告:<input type="text" name="Notice" id="Notice" />
        <input type="button" value="提交" id="btn" />
    </form>
</body>
</html>
<script>
    $(function () {
        $("#btn").click(function () {
            var token = $('@Html.AntiForgeryToken()').val();
            var headers = {};
            headers["__RequestVerificationToken"] = token;
            $.ajax({
                type: 'POST',
                url: '/Home/Notice',
                cache: false,
                headers: headers,
                data: { Notice: $("#Notice").val()},
                success: function (data) {
                    alert(data)
                },
                error: function () {
                    alert("Error")
                }
            });

        })
    })
</script>

自定义ValidateAntiForgeryToken

public class MyValidateAntiForgeryToken: AuthorizeAttribute
    {
        public override void OnAuthorization(AuthorizationContext filterContext)
        {
            var request = filterContext.HttpContext.Request;
            if (request.HttpMethod== WebRequestMethods.Http.Post)
            {
                if (request.IsAjaxRequest())
                {
                    var antiForgeryCookie = request.Cookies[AntiForgeryConfig.CookieName];
                    var cookiValue = antiForgeryCookie != null ? antiForgeryCookie.Value : null;
                    var s = request.Headers["__RequestVerificationToken"];
                    AntiForgery.Validate(cookiValue, request.Headers["__RequestVerificationToken"]);
                }
                else
                {
                    new ValidateAntiForgeryTokenAttribute() .OnAuthorization(filterContext);

                }
            }
        }
    }

修改HomeController Notice方法

[HttpPost]
        //    [ValidateAntiForgeryToken]
        [MyValidateAntiForgeryToken]
        public ActionResult Notice(string Notice)
        {
            ViewBag.Notice = Notice;
            
            return Json(new { message = Notice });
        }

这样就防止了ajax post数据到服务器不加防伪标记，造成CSRF攻击

posted @ 2018-09-19 16:51 学无止境Time 阅读(386) 评论(0) 收藏举报

刷新页面返回顶部