網(wǎng)絡(luò)安全第九章跨站請求偽造攻擊及防御

跨站請求偽造攻擊及防御1)理解Cookie與Session機(jī)制，通過對安信華web弱點測試系統(tǒng)進(jìn)行跨站請求偽造攻擊，理解跨站請求偽造攻擊的原理與方法；2)掌握跨站請求偽造漏洞的檢測方法；3)通過對安信華web弱點測試系統(tǒng)進(jìn)行跨站請求偽造的防御，掌握跨站請求偽造攻擊的防御方法。。學(xué)習(xí)目標(biāo)1項目的實施與驗證跨站請求偽造攻擊。STEP01：黑客在論壇、貼吧等平臺發(fā)布黑客網(wǎng)址43/test.html，引誘用戶點擊。STEP02：用戶登陸正規(guī)網(wǎng)站。在客戶端訪問安信華web弱點測試系統(tǒng)，輸入賬號admin，密碼4456登陸。STEP03：用戶在未退出安信華web弱點測試系統(tǒng)的訪問期間，點擊黑客網(wǎng)址。用戶在論壇或貼吧等平臺看到黑客發(fā)布的網(wǎng)址43/test.html，不小心點擊訪問。STEP04：用戶的密碼被黑客修改，即跨站請求偽造攻擊成功。在客戶端，用戶重新使用賬號admin，密碼4456登陸安信華web弱點測試系統(tǒng)，失敗；使用黑客修改后的密碼abc登陸，成功。跨站請求偽造的防御（1）驗證碼驗證碼被認(rèn)為是對抗CSRF攻擊最簡潔而有效的防御方法。CSRF攻擊的過程，往往是在用戶不知情的情況下構(gòu)造了網(wǎng)絡(luò)請求。而驗證碼，則強(qiáng)制用戶與應(yīng)用進(jìn)行交互，才能完成最終請求。因此，在通常情況下，驗證碼能夠很好地遏制CSRF攻擊。但是驗證碼并非萬能。很多時候，出于用戶體驗考慮，網(wǎng)站不能給所有的操作都加上驗證碼。因此，驗證碼只能作為防御CSRF的一種輔助手段，而不能作為最主要的解決方案。（2）驗證HTTPReferer字段根據(jù)HTTP協(xié)議，在HTTP頭中有一個字段叫Referer，它記錄了該HTTP請求的來源地址。在通常情況下，訪問一個安全受限頁面的請求是來自于同一個網(wǎng)站，比如需要訪問http://bank.example/withdraw?account=bob&amount=1000000&for=Mallory，用戶必須先登陸bank.example，然后通過點擊頁面上的按鈕來觸發(fā)轉(zhuǎn)賬事件。這時，該轉(zhuǎn)帳請求的Referer值是轉(zhuǎn)賬按鈕所在的頁面的URL，應(yīng)當(dāng)是以bank.example域名開頭的地址。而黑客如果要對銀行網(wǎng)站實施CSRF攻擊，他只能在自己的網(wǎng)站構(gòu)造請求，誘惑用戶通過黑客的網(wǎng)站發(fā)送請求到銀行時，此時該請求的Referer值指向黑客網(wǎng)站。因此，要防御CSRF攻擊，銀行網(wǎng)站服務(wù)器只需要驗證每一個轉(zhuǎn)賬請求的Referer值：如果是以bank.example開頭的域名，則說明該請求是來自銀行網(wǎng)站的，是合法的；如果Referer值是其他網(wǎng)站的話，則有可能是黑客的CSRF攻擊，拒絕該請求。（3）加密參數(shù)值或增加隨機(jī)參數(shù)CSRF能夠攻擊成功的本質(zhì)原因在于：黑客可以完全偽造用戶的請求，該請求中需要的用戶驗證信息存在于cookie中，黑客可以在不知道這些驗證信息的情況下利用用戶的cookie通過安全驗證。例如，黑客在9.3的黑客網(wǎng)站中構(gòu)造<img>標(biāo)簽時的URL：35:8080/dvwa/vulnerabilities/csrf/?password_new=abc&password_conf=abc&Change=%B8%FC%B8%C4#，黑客需要猜測并構(gòu)造其中的密碼形式“abc”，才能夠構(gòu)造偽造請求?？缯菊埱髠卧炻┒吹臋z測STEP01：在客戶端用火狐瀏覽器訪問目標(biāo)網(wǎng)站：安信華web弱點測試系統(tǒng)，登陸后點擊左欄的“A5-跨站請求偽造（CSRF）”STEP02：設(shè)置火狐瀏覽器代理：點擊界面右上角的“打開菜單”—>在彈出的列表中點擊“選項”—>在彈出的選項頁面點擊左欄的“高級”按鈕—>選擇“網(wǎng)絡(luò)”標(biāo)簽項—>點擊“配置Firefox如何連接至國際互聯(lián)網(wǎng)”右側(cè)的“設(shè)置”按鈕—>選中“手動配置代理”，輸入IP地址、端口8098，點擊“確定”；設(shè)置BurpSuite的代理：IP地址、端口8098；在Proxy模塊的Intercept選項中設(shè)置“Interceptisoff”。STEP03：在安信華web弱點測試系統(tǒng)輸入修改后的密碼，點擊“更改”；在彈出的密碼保存提示框點擊“不保存”。STEP04：在BurpSuite工具的“HTTPhistory”選項處查看抓取的數(shù)據(jù)包，右鍵點擊密碼修改數(shù)據(jù)包—>選擇“Engagementtools”—>“GenerrateCSRFPoC”，即生成CSRF的驗證程序。STEP05：在彈出的CSRFPoCgenerator界面，選擇“Params”標(biāo)簽項—>雙擊“password_new”和“password_conf”的“Value”值，修改密碼，例如123456—>點擊左下角的“Regenerate”按鈕，重新生成CSRFHTML代碼—>點擊右下角的“Testinbrowser”，在瀏覽器中進(jìn)行測試。STEP02：右鍵點擊“可用注入點”方框里的注入點，選擇“注入檢測”，即進(jìn)入SQL注入檢測頁面，點擊右上角的“檢測”按鈕檢測數(shù)據(jù)庫類型STEP06：在彈出的“Showresponseinbrowser”對話