JSON web服务易受CSRF攻击吗？

Question

我正在构建一个专门使用JSON作为请求和响应内容的网络服务（即，没有表单编码的有效载荷）。

如果以下情况属实，web服务是否容易受到CSRF攻击？

>

任何没有顶级JSON对象的POST请求，例如，{"foo"："bar"}，将被400拒绝。例如，内容为42的POST请求将因此被拒绝。

任何具有Application/json以外的内容类型的POST请求将被400拒绝。例如，具有内容类型Application/x-wow-form-urlencoded的POST请求将因此被拒绝。

所有GET请求都是安全的，因此不会修改任何服务器端数据。

客户端通过会话cookie进行身份验证，web服务会在客户端通过带有JSON数据的POST提供正确的用户名/密码对后提供会话cookie，例如，{“username”：[e-mail]“，“密码”：“我的密码”}。

附带问题：PUT和DELETE请求是否容易受到CSRF的攻击？我这么问是因为似乎大多数（所有？）浏览器不允许超文本标记语言形式中的这些方法。

编辑：添加项目#4。

编辑：到目前为止，有很多好的评论和答案，但是没有人提供此web服务易受攻击的特定CSRF攻击。

Answer 1

可以使用Ajax在基于JSON的Restful服务上执行CSRF。我在一个应用程序（同时使用Chrome和Firefox）上对此进行了测试。为了避免飞行前请求，您必须将contentType更改为text/plain，将dataType更改为JSON。然后可以发送请求，但为了发送sessiondata，需要在ajax请求中设置withCredentials标志。我在这里更详细地讨论了这一点（包括参考文献）：

http://wsecblog.blogspot.be/2016/03/csrf-with-json-post-via-ajax.html

Answer 2

是的，这是可能的。您可以设置一个攻击者服务器，该服务器将向目标服务器发回307重定向到受害者机器。你需要使用flash来发送帖子，而不是使用表单。

参考：https://bugzilla.mozilla.org/show_bug.cgi?id=1436241

它也适用于铬。

Answer 3

只有使用XHR才能有效地伪造具有任意媒体类型的任意CSRF请求，因为表单的方法仅限于GET和POST，表单的POST消息体也仅限于三种格式Application/x-www-form-urlencoded，Multipart/form-数据和文本/普通。但是，使用表单数据编码文本/普通，仍然可以伪造包含有效JSON数据的请求。

因此，唯一的威胁来自基于XHR的CSRF攻击。只有当它们来自同一个来源，所以基本上是从你自己的网站（例如XSS）获得成功。小心不要将禁用CORS（即未设置访问控制允许源代码：）误认为是一种保护。CORS只是阻止客户端读取响应。整个请求仍然由服务器发送和处理。