PHP安全编程之跨站请求伪造CSRF的防御

偏执的太偏执、 2022-07-19 05:12 267阅读 0赞

跨站请求伪造([CSRF][])是一种允许攻击者通过受害者发送任意HTTP请求的一类攻击方法。此处所指的受害者是一个不知情的同谋，所有的伪造请求都由他发起，而不是攻击者。这样，很你就很难确定哪些请求是属于跨站请求伪造攻击。事实上，如果没有对跨站请求伪造攻击进行特意防范的话，你的应用很有可能是有漏洞的。

请看下面一个简单的应用，它允许用户购买钢笔或铅笔。界面上包含下面的表单：

<form action="buy.php" method="POST">
      <p>
      Item:
      <select name="item">
        <option name="pen">pen</option>
        <option name="pencil">pencil</option>
      </select><br />
      Quantity: <input type="text" name="quantity" /><br />
      <input type="submit" value="Buy" />
      </p>
    </form>

一个攻击者会首先使用你的应用以收集一些基本信息。例如，攻击者首先访问表单并发现两个表单元素item及quantity，他也同时知道了item的值会是铅笔或是钢笔。

下面的buy.php程序处理表单的提交信息：

<?php
     
      session_start();
      $clean = array();
     
      if (isset($_REQUEST['item'] && isset($_REQUEST['quantity']))
      {
        /* Filter Input ($_REQUEST['item'], $_REQUEST['quantity']) */
     
        if (buy_item($clean['item'], $clean['quantity']))
        {
          echo '<p>Thanks for your purchase.</p>';
        }
        else
        {
          echo '<p>There was a problem with your order.</p>';
        }
      }
     
    ?>

攻击者会首先使用这个表单来观察它的动作。例如，在购买了一支铅笔后，攻击者知道了在购买成功后会出现感谢信息。注意到这一点后，攻击者会尝试通过访问下面的URL以用GET方式提交数据是否能达到同样的目的：

http://store.example.org/buy.php?item=pen&quantity=1

如果能成功的话，攻击者现在就取得了当合法用户访问时，可以引发购买的URL格式。在这种情况下，进行跨站请求伪造攻击非常容易，因为攻击者只要引发受害者访问该URL即可。

虽然有多种发起跨站请求伪造攻击的方式，但是使用嵌入资源如图片的方式是最普遍的。为了理解这个攻击的过程，首先有必要了解浏览器请求这些资源的方式。

当你访问http://www.google.com，你的浏览器首先会请求这个URL所标识的资源。你可以通过查看该页的源文件（HTML）的方式来看到该请求的返回内容。在浏览器解析了返回内容后发现了Google的标志图片。这个图片是以HTML的img标签表示的，该标签的src属性表示了图片的URL。浏览器于是再发出对该图片的请求，以上这两次请求间的不同点只是URL的不同。

根据上面的原理，跨站请求伪造攻击可以通过img标签来实现。考虑一下如果访问包括下面的源代码的网页会发生什么情况：

由于buy.php脚本使用$\_REQUEST而不是$\_POST，这样每一个只要是登录在store.example.org商店上的用户就会通过请求该URL购买50支铅笔。

跨站请求伪造攻击的存在是不推荐使用$\_REQUEST的原因之一。

当请求一个图片时，某些浏览器会改变请求头部的Accept值以给图片类型以一个更高的优先权。需要采用保护措施以防止这种情况的发生。

你需要用几个步骤来减轻跨站请求伪造攻击的风险。一般的步骤包括使用POST方式而不是使用GET来提交表单，在处理表单提交时使用$\_POST而不是$\_REQUEST，同时需要在重要操作时进行验证（越是方便，风险越大，你需要求得方便与风险之间的平衡）。

任何需要进行操作的表单都要使用POST方式。在RFC 2616(HTTP/1.1传送协议，译注)的9.1.1小节中有一段描述：

> “特别需要指出的是，习惯上GET与HEAD方式不应该用于引发一个操作，而只是用于获取信息。这些方式应该被认为是‘安全’的。客户浏览器应以特殊的方式，如POST，PUT或DELETE方式来使用户意识到正在请求进行的操作可能是不安全的。”

最重要的一点是你要做到能强制使用你自己的表单进行提交。尽管用户提交的数据看起来象是你表单的提交结果，但如果用户并不是在最近调用的表单，这就比较可疑了。请看下面对前例应用更改后的代码：

<?php
     
      session_start();
      $token = md5(uniqid(rand(), TRUE));
      $_SESSION['token'] = $token;
      $_SESSION['token_time'] = time();
     
    ?>

表单：

<form action="buy.php" method="POST">
      <input type="hidden" name="token" value="<?php echo $token; ?>" />
      <p>
      Item:
      <select name="item">
        <option name="pen">pen</option>
        <option name="pencil">pencil</option>
      </select><br />
      Quantity: <input type="text" name="quantity" /><br />
      <input type="submit" value="Buy" />
      </p>
    </form>

通过这些简单的修改，一个跨站请求伪造攻击就必须包括一个合法的验证码以完全模仿表单提交。由于验证码的保存在用户的session中的，攻击者必须对每个受害者使用不同的验证码。这样就有效的限制了对一个用户的任何攻击，它要求攻击者获取另外一个用户的合法验证码。使用你自己的[验证码][Link 1]来伪造另外一个用户的请求是无效的。

该验证码可以简单地通过一个条件表达式来进行检查：

<?php
     
      if (isset($_SESSION['token']) && $_POST['token'] == $_SESSION['token'])
      {
        /* Valid Token */
      }
     
    ?>

你还能对验证码加上一个有效时间限制，如5分钟：

<?php
     
      $token_age = time() - $_SESSION['token_time'];
     
      if ($token_age <= 300)
      {
        /* Less than five minutes has passed. */
      }
     
    ?>

通过在你的表单中包括验证码，你事实上已经消除了跨站请求伪造攻击的风险。可以在任何需要执行操作的任何表单中使用这个流程。

尽管我使用img标签描述了攻击方法，但跨站请求伪造攻击只是一个总称，它是指所有攻击者通过伪造他人的HTTP请求进行攻击的类型。已知的攻击方法同时包括对GET和POST的攻击，所以不要认为只要严格地只使用POST方式就行了。

[CSRF]: http://www.nowamagic.net/librarys/veda/tag/CSRF
[Link 1]: http://www.nowamagic.net/librarys/veda/tag/%E9%AA%8C%E8%AF%81%E7%A0%81