玩转 CSRF 攻击与防范策略

CSRF的攻击与防御

攻击者盗用了你的身份，以你的名义发送恶意请求————你可以这么理解CSRF攻击。CSRF是一种依赖web浏览器的、被混淆过的代理人攻击，
旺旺涉及到个人隐私泄露以及财产安全

一、CSRF原理能给大家科普下吗？
由于浏览器的特性，会自动携带同一域名下的cookie到服务器，服务器端的某些功能验证了cookie有效性后，就执行了该功能。

二、CSRF分为哪几种场景呢？
修改和个人数据（横向越权），添加用户（纵向越权）等。

三、CSRF容易出现在哪些业务上呢··？
CSRF一般用于操作用户的资源，或者使用用户的权限进行操作，或者窃取用户的相关信息。

四、能说说CSRF的最佳利用方式吗？
CSRF给电商用户新增默认收货地址、发微博、添加管理员等等，所有的敏感操作都可以是我们的攻击目标，也就是说，所有的敏感操作都需要进行CSRF的防护。

五、请教下CSRF的防护方案
CSRF的防护，主要是referer限制、token、验证码。甚至非常敏感的操作应该使用短信验证。另外防护手段可以加上一条：多使用post方式获取参数，进行敏感操作功能

六、考虑前期开发规避、中期安全检测、后期安全有效监控，企业级CSRF的最佳实践有哪些？
开发的话，所有的敏感请求都不要用get。对敏感功能进行来源和token的验证，最好都验证，一般只验证一个，有很多被突破的可能。如果post是ajax
功能的post，那就检验ajax的header头就行了，拒绝所有form表单的Post.监控的话，可部署监控日志。