CSRF深度保护

Question

我目前添加了一个CSRF令牌保护机制到我的php应用程序。正如我所读到的，唯一的要求是一个独特的每个用户令牌，我在php7中使用random_bytes生成。

我担心的是，如果攻击者使用用户的浏览器发送http请求，浏览器不会发送令牌的会话变量吗？（因为用户具有与令牌关联的sessionid）。

我将令牌存储在会话变量的一个隐藏值内。

例如：我的令牌存储在会话变量中，然后攻击者将我发送到具有csrf保护的更改密码页面，验证将不会通过？（我的浏览器cookie中已经有正确的会话标识符）。

谢谢

Answer 1

以下是CSRF攻击的工作原理：

爱丽丝（有意无意地）访问compromised.com

遭到破坏。com向您的网站发出HTTP post†请求。com，使用HTML表单、JavaScript、Flash或任何可以发出HTTP post请求的东西。

<form method=post action="http://yoursite.com/change-password">
  <input name=password value=666>
  <input name=confirm_password value=666>
</form>

这是有效的，因为网络浏览器会将Alice的yoursite.com会话cookie发送到yoursite.com。

由于同一原产地政策，受到损害。com可以向任何站点发送它想要的任何数据，但不能从其他站点读取数据。

以下是CSRF保护的工作原理：

yoursite。com需要一个名为\u csrf\u token（或类似）的HTTP post请求变量，并将其与服务器端会话内存中为Alice存储的内容进行比较。

您将\u csrf\u令牌的值写入HTML表单中的隐藏输入，因此它会自动与站点中的表单帖子一起发送。com

遭到破坏。com无法从您的站点读取\u csrf\u令牌的值。com由于同一来源的政策，因此它试图发布到您的站点。com将失败。

<form method=post action="http://yoursite.com/change-password">
  <input name=password value=666>
  <input name=confirm_password value=666>
  <input name=_csrf_token value="???">
</form>

†不必是post，但这很常见