从Java代码实现角度探讨CSRF(采用全局的token)

Posted Java小学生的成长日志

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了从Java代码实现角度探讨CSRF(采用全局的token)相关的知识，希望对你有一定的参考价值。

 一、CSRF概念篇

        “图难于其易，为大于其细。天下难事，必作于易；天下大事，必作于细"出自老子的《道德经》，韩非在《韩非子-喻老》篇也曾提到过。这句话大概意思是解决难事要从简单方面入手，做大事情要从细微角度着手。Web系统安全亦是如此，CSRF攻击已出现多年，安全从业者也提供了许多有针对性的解决方案。但实际项目开发工作中，除了一些资深开发工程师，大部分程序开发人员对CSRF的具体攻击形式与原理理解还不够深入。本文将以Java Web项目的代码实现角度分析CSRF攻击，希望对web开发者有一定的启发作用。

        CSRF（Cross-site request forgery）中文名称为"跨站请求伪造”。CSRF攻击形式其实很简单，正因为它的简单反而容易被人忽视，因此它的危害非常巨大。其攻击形式为:用户（USER）首先登录一正常网站(Normal Website)，正常网站向用户浏览器发送cookie信息，此时用户还未注销登录信息。然后用户又打开浏览器另一标签页(tab)访问了一个恶意网站(Malicious Website)，Malicious Website会自动构造指向Normal Website的恶意HTTP请求(更新、删除、添加您的重要信息)。其中恶意HTTP请求是有Malicious Website来提交的(包括用户点击)，理解这一点对于分析CSRF攻击十分重要，下文会对这一点其进行分析。

  二、CSRF攻击篇


        上图具体描述了CSRF的攻击过程，CSRF涉及到三种角色:用户(User)、正常网站(NW)、恶意网站(MW)。其中恶意网站可能是存在某些Web漏洞的网站，它已经被黑客获得了权限，可以自由构造CSRF攻击页面内容。一旦用户满足上图的过程，将不可避免遭受CSRF攻击。下面以一个bbs系统为例，相信大家一定在bbs上发过帖子，用户可以发布帖子、删除帖子、修改贴子。

       例子1：假设bbs系统以HTTP GET请求方式来删除帖子，攻击者在恶意网站加入以下html代码段

[html] view plain copy

<img src="http://www.mybbs.com/del_forum_posts.do?id=1234"/>  

从Java代码实现角度探讨CSRF(采用全局的token)

CSRF攻击者在MW中嵌入上述<img>标签，一旦用户访问该网站将导致帖子被删除，显然用户没想过要删除帖子。那有人会问了，既然HTTP GET方式会导致帖子会被删除，那么我改用POST方式不就可以了嘛，嘻嘻我真聪明。


       例子2：为解决上面的问题，bbs程序员将删除帖子的方式改用POST表单提交方式。

  1. <form action="del_forum_posts.do" mehtod="post">  

  2.     <input name="id" value="1234"/>  

  3.     <input type="submit" value="submit"/>  

  4. </form> 

从Java代码实现角度探讨CSRF(采用全局的token)

       实际上前端页面改用POST方式还是会存在两个问题，一是ava后端程序员如果编写Servlet或者SpringMVC控制器中时没有很好地区分出POST与GET请求时，那么以request.getAttribute()或者request.getParameter()方式获取客户单请求参数，那么还是无法判断出请求是来自POST还是GET的；假设不存在第一个问题，那是不是真的就不存在问题了呢。哈哈，程序员很自信也很聪明，可攻击者也不傻呀，你在页面改用POST请求，那么攻击者在恶意页面中也可以改用POST方式，正所谓以其人之道还治其人之身。


  1. <script language="javascript" type="text/javascript">  

  2.     function autoSubmit() {  

  3.         document.forms['myForm'].submit();  

  4.     }  

  5. </script>  

  6.     <body onload="autoSubmit()">  

  7.         <form id="myForm" name="myForm" action="del_forum_posts.do" mehtod="post">   

  8.         <input name="id" value="1234"/> </form>  

  9. </body> 

从Java代码实现角度探讨CSRF(采用全局的token)

显然，一旦访问该页面还是会遭受攻击，因此改用POST方式来防御CSRF是治标不治本。

          那么到底要如何来防御呢？吴翰清在《白帽子讲WEB安全》提到，使信息具有不可预测性是保证系统安全的一个重要特性。CSRF攻击发起者能够预测到发动攻击所需的参数以及请求方式，如本文例子中攻击者能够预测出表单id的值，HTTP请求方式无非就是POST、GET、PUT、DELETE。基于不可预测性的理论，我们可以在表单中加入一个随机数，那么攻击者就没办法预测出了呀。

         目前一般提供两种方式防御CSRF攻击，一是在每个表单提交处增加验证码，但使用验证码对于使用用户来说是比较难以接受的。每个表单都需要填验证码，用户会奔溃的。二是每个表单提交处提供不同的随机参数(TOKEN)。


 

         CSRF基本上只针对增删改操作，读操作对于攻击者基本没有什么意义(CSRF攻击对于攻击者来讲攻击的流程是透明的，他不能得到服务器的Response信息)，所以Java开发者在编写程序时要制定符合HTTP协议的规范：GET请求用于获取数据  ，POST请求用于修改数据。常用POST提交有表单(Form)和AJAX两种方式，表单可以通过增加一个隐藏域
 

     
 
  1. <input type=’hidden’ name=’token’ value=’token值’>  
    2.  

 

从Java代码实现角度探讨CSRF(采用全局的token)
 

，AJAX可以通过添加请求头(header)。
 


 

            后端MVC框架若是采用SpringMVC，客户端每次向Springmvc发送请求时(*.do,*.jhtml等)，Springmvc后台可以设置一个全局拦截器，可以产生一个随机数token(在Java中可以使用方法UUID.randomUUID.toString())，以cookie形式发送到客户端。
 

           假如前端Post表单请求是由于伪造网站来提交的，一般不存在hidden隐藏域 token,即使在页面中增加hidden token,它也没办法获取cookie中的随机token值,并且由于token是随机的也很难猜测出来。
 

          假如前端Post过来的AJAX请求是有伪造网站提交过来的，一般不存在header 请求头token,即使在请求头中加入header token, 它也是没办法获取cookie中的随机token值, 并且由于token是随机的也很难猜测出来。
 

         被攻击的网站是可以带上cookie，但是恶意网站是没办法获取cookie，当然是假设不存在其他XSS漏洞可以获取cookie的前提下。Forgery Request里面没有hidden token。
 


 

 三、CSRF防御篇
 

            当用户访问正常网站时，该站点会生成一个随机数的cookie值，Java语言可以采用UUID.randomUUID.toString()方式生成一个随机值。每次用户提交POST请求时需要带上这个随机数token，问题来了要怎么带呢?我们知道客户端发送请求一般有表单和AJAX方式：
 


 

        (1) 如果是表单提交方式需要在每次提交之前向表单增加一个包含token值得隐藏域，其中getCookie用于获取客户端cookie值
 

     
 
  1. $("#myForm").submit(function(){  
    2.  
 
  2.     if($(this).attr("method") != null && $(this).attr("method").toUpperCase() == "POST" && $(this).find("input[name=csrf_token]").size() == 0) {  
    3.  
 
  3.         var token = getCookie("csrf_token");  
    4.  
 
  4.     $(this).append("<input type='hidden' name='csrf_token' value='"+token+"'/>");  
    5.  
 
  5.     }     
    6.  
 
  6. });  
    7.  

 

从Java代码实现角度探讨CSRF(采用全局的token)
 

      (2)如果是AJAX方式提交，那么我们可以使用$.ajaxSend()全局回调函数，当AJAX请求即将被发送时以下代码将执行。
 

     
 
  1.      
    2.  
 
  2. $(document).ajaxSend(function(event, request, option) {  
    3.  
 
  3.     if (!option.crossDomain && sett.type != null && option.type.toLowerCase() == "post") {  
    4.  
 
  4.         var token = getCookie("token");  
    5.  
 
  5.         if (token != null) {  
    6.  
 
  6.             request.setRequestHeader("csrf_token", token);  
    7.  
 
  7.         }  
    8.  
 
  8.     }  
    9.  
 
  9. });  
    10.  

 

 

          这里以SpringMVC制器框架为例，分析服务器后端如何对CSRF进行校验防御。SpringMVC提供类似Filter功能的拦截器，但功能更加强大。SpringMVC不仅实现了Filter的所有功能，并提供更加细化的过滤拦截功能。
 

 

    HandlerInterceptorAdapter是SpringMVC提供的拦截器适配器类，继承此类可能实现各种时机的拦截功能。
 

JAVA后端验证代码，首先判断请求方式是否为POST方式，
 

                                      (1) 若为POST请求方式， 则判断是否为AJAX POST请求方式，从requst请求头中取出csrf_token与cookie的token进行比较，值相同表示csrf验证通过
 

     
 
  1. public class CSRFTokenInterceptor extends HandlerInterceptorAdapter {  
    2.  
 
  2.   
    3.  
 
  3.     public boolean preHandle(HttpServletRequest request, HttpServletResponse response,   
    4.  
 
  4.             Object handler) throws IOException {  
    5.  
 
  5.         String token = CookieUtils.getCookie("csrf_token"); //从cookie中读取token  
    6.  
 
  6.         if (request.getMethod().equalsIgnoreCase("POST")) {  
    7.  
 
  7.             String requestType = request.getHeader("X-Requested-With");  
    8.  
 
  8.             //AJAX POST 请求  
    9.  
 
  9.             if (requestType != null && requestType.equalsIgnoreCase("XMLHttpRequest")) {  
    10.  
 
  10.                 if (token != null && token.equals(request.getHeader("csrf_token")))  
    11.  
 
  11.                     return true;  
    12.  
 
  12.             } else if (token != null && token.equals(request.getParameter("csrf_token"))) {//普通表单POST方法  
    13.  
 
  13.                 return true;  
    14.  
 
  14.             }  
    15.  
 
  15.   
    16.  
 
  16.             if (token == null) {  
    17.  
 
  17.                 token = UUID.randomUUID().toString();  
    18.  
 
  18.                 CookieUtils.addCookie(request, response, "csrf_token", token);  
    19.  
 
  19.             }  
    20.  
 
  20.             //SC_FORBIDDEN，状态码是403，表示服务器明白客户的请求，但拒绝响应  
    21.  
 
  21.             response.sendError(403, "Bad or missing token!");  
    22.  
 
  22.             return false;  
    23.  
 
  23.         }  
    24.  
 
  24.   
    25.  
 
  25.           
    26.  
 
  26.         if (token == null) {  
    27.  
 
  27.             token = UUID.randomUUID().toString();  
    28.  
 
  28.             CookieUtils.addCookie(request, response, "csrf_token", token);  
    29.  
 
  29.         }  
    30.  
 
  30.   
    31.  
 
  31.         //request只有两个页面之间的作用域,不能再传给第3个页面了  
    32.  
 
  32.         //request只能在一次页面传递之间保存数据，超过就会丢失  
    33.  
 
  33.         request.setAttribute("token", token);  
    34.  
 
  34.         return true;  
    35.  
 
  35.     }  
    36.  
 
  36. }  
    37.  

 


 


 

注:  此处java代码有出入,验证的token不能放到cookie中,因为放到cookie中,跨站请求伪造时也会携带者这个cookie进来,应该将token放到session中,验证信息保存在服务端,这样才能除了cookie验证外还有token验证.
 


以上是关于从Java代码实现角度探讨CSRF(采用全局的token)的主要内容，如果未能解决你的问题，请参考以下文章
 

 从商业角度探讨API设计


 Java中的事务——全局事务与本地事务


 角度中的 CSRF 令牌与 Laravel 5 不同


 商业角度API设计探讨：从模式到价值


 java线程池学习


 角度注销后无法验证 CSRF 令牌的真实性