我的CSRF保护方法安全吗？

Question

我一直在使用PHP做我自己的CSRF保护。从我所读到的内容来看，我决定使用cookie来实现我的保护，但对于我的方法是否能安全抵御CSRF攻击感到有点困惑。

因此，我的方法如下：

>

用户发送登录请求

服务器检查是否设置了CSRF令牌，如果未设置，则创建一个，并将其存储在会话中，并使用令牌创建Cookie

通过检查CSRF令牌是否在POST请求中进行验证，如果不在POST请求中，则检查$\u COOKIE中的令牌

如果令牌无效，请发回消息。。。

我决定使用cookie来存储令牌，因为这将适用于Ajax请求，并且我不必每次使用Ajax帖子时都包含它。

我感到困惑的是，攻击者不能仅仅发出请求；POST或GET，因为cookie在那里，所以它只是随请求一起发送，因此作为有效的请求，因为令牌每次都随浏览器一起发送？

Answer 1

只要“用户发送登录请求”指的是登录页面的初始GET请求，这是正确的。CSRF应在GET请求中生成和存储，并在每次发布期间进行验证。

我感到困惑的是，攻击者不能仅仅发出请求；POST或GET，因为cookie在那里，所以它只是随请求一起发送，因此作为有效的请求，因为令牌每次都随浏览器一起发送？

是的。CSRF令牌不是秘密的。他们只是确认只有在发出预期的GET请求后才会发出POST。这意味着只有当某人首先要求提交表格时，他们才能提交表格。它防止一个坏网站发送用户到您的网站与POST。它不会阻止攻击者发出GET请求、获取令牌和生成有效的POST。

来自OWASP：

在社交工程的一点帮助下（例如通过电子邮件或聊天发送链接），攻击者可能会欺骗网络应用程序的用户执行攻击者选择的操作。如果受害者是普通用户，成功的CSRF攻击会迫使用户执行状态更改请求。

Answer 2

cookie不应包含CSRF令牌。只有客户端会话存储应该包含它。你不应该反对cookie中的CSRF。

如果您要检查与cookie一起发送的CSRF，您将绕过CSRF背后的想法。

一个简单的攻击场景是在国外网站上隐藏的形式：

<form method="method" action="http://site-to-gain-access-to.tld/someactionurl">
  <!-- some form data -->
</form>

这个隐藏的表单将使用javascript执行，无需用户干预。如果用户登录到站点以获得访问权限。tld如果没有激活的CSRF保护，那么就好像用户本身触发了该操作一样，因为用户的会话cookie将随该请求一起发送。因此服务器会假定是用户触发了该请求。

如果您现在将CSRF令牌放在cookie中，您将面临与会话相同的问题。

CSRF令牌必须始终仅作为请求正文或url的一部分发送，而不是作为cookie发送。

因此，突出显示的部分：

服务器检查是否设置了CSRF令牌，如果未设置，则创建一个，并将其存储在会话中，并使用令牌创建Cookie

通过检查CSRF令牌是否在POST请求中进行验证，如果不在POST请求中，则检查$\u COOKIE中的令牌

会破坏CSRF的保护。无论CSRF是以明文还是服务器端加密的形式存储在cookie中，都没有关系。