我的回答

拦截cookie, 冒充用户, 恶意攻击
跨站请求伪造

设置sameTitle, httpOnly, domain等等
csrf token

参考答案

什么是CSRF攻击？

CSRF(Cross-site request forgery)，即跨站请求伪造，指的是黑客诱导用户点击链接，打开黑客的网站，然后黑客利用用户目前的登录状态发起的跨站请求。 举个例子，你在某个网站点击了黑客精心挑选的图片，你点击后进入一个新的页面。那么，恭喜你被攻击啦！ 你可能对突然被攻击这件事很好奇，那么接下来就是进行拆解：当你点击了这个链接之后，黑客在背后做了哪些事情？ 可能会做三件事情：

  • 1.自动发GET请求 黑客网页里面可能有一段这样的代码：

    1. <img src="https://xxx.com/info?user=hhh&count=77">

    进入页面后自动发送get请求，值得注意的是，这个请求会自动带上关于xxx.com的cookie信息(假设你已经登录过xxx.com的网站) 假如服务器端没有相应的验证机制，它可能以为发请求的是一个正常的用户，因为携带了相应的cookie，然后进行相应的各种操作，可以是转账汇款以及其他的恶意操作

  • 2.自动发POST请求 黑客可能自己填写了一个表单，写了一段自动提交的脚本。

    1. <form id='hacker-form' action="https://xxx.com/info" method="POST">
    2. <input type="hidden" name="user" value="hhh" />
    3. <input type="hidden" name="count" value="100" />
    4. </form>
    5. <script>document.getElementById('hacker-form').submit();</script>

    同样也会携带相应的用户cookie信息，让服务器误以为是一个正常的用户在操作，让各种恶意的操作变为可能

  • 3.诱导点击发送GET请求 在黑客的网站上，可能会放上一个链接，驱使你来点击

    1. <a href="https://xxx/info?user=hhh&count=100" taget="_blank">点击进入修仙世界</a>

    点击后，自动发送get请求，接下来和自动发GET请求部分同理 这就是CSRF攻击的原理，和XSS攻击做对比，CSRF攻击并不需要将恶意代码注入用户当前页面的html文档中，而是跳转到新的页面，利用服务器的验证漏洞和用户之前的登陆状态来模拟用户进行操作

    防范措施

  • 1.利用Cookie的SameSite属性 CSRF攻击中重要的一环就是自动发送目标站点下的 Cookie,然后就是这一份 Cookie 模拟了用户的身份。因此在Cookie上面下文章是防范的不二之选。 恰好，在 Cookie 当中有一个关键的字段，可以对请求中 Cookie 的携带作一些限制，这个字段就是SameSite。 SameSite可以设置为三个值，Strict、Lax和None。

    • 1.在Strict模式下，浏览器完全禁止第三方请求携带Cookie。比如请求zhufeng.com网站只能在zhufeng.com域名当中请求才能携带 Cookie，在其他网站请求都不能。
    • 2.在Lax模式，就宽松一点了，但是只能在 get 方法提交表单况或者a 标签发送 get 请求的情况下可以携带 Cookie，其他情况均不能。
    • 3.在None模式下，也就是默认模式，请求会自动携带上 Cookie。

    2.验证来源站点 这就需要要用到请求头中的两个字段: Origin和Referer。 其中，Origin只包含域名信息，而Referer包含了具体的 URL 路径。 当然，这两者都是可以伪造的，通过 Ajax 中自定义请求头即可，安全性略差。

  • 3.CSRF Token Django作为 Python 的一门后端框架，如果是用它开发过的同学就知道，在它的模板(template)中, 开发表单时，经常会附上这样一行代码:

    1. {% csrf_token %}

    这就是CSRF Token的典型应用。那它的原理是怎样的呢？
    首先，浏览器向服务器发送请求时，服务器生成一个字符串，将其植入到返回的页面中。 然后浏览器如果要发送请求，就必须带上这个字符串，然后服务器来验证是否合法，如果不合法则不予响应。这个字符串也就是CSRF Token，通常第三方站点无法拿到这个 token, 因此也就是被服务器给拒绝

    总结

    CSRF(Cross-site request forgery), 即跨站请求伪造，指的是黑客诱导用户点击链接，打开黑客的网站，然后黑客利用用户目前的登录状态发起跨站请求。 CSRF攻击一般会有三种方式:

    • 自动 GET 请求
    • 自动 POST 请求
    • 诱导点击发送 GET 请求

防范措施: 利用 Cookie 的SameSite 属性、验证来源站点和CSRF Token。Ï