一、CSRF攻击原理与核心机制
CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种利用用户身份认证状态发起非授权操作的攻击方式。其核心在于浏览器自动携带用户Cookie的机制：
1. 用户登录：用户访问受信任的网站（如银行系统），登录后浏览器存储会话Cookie。
2. 恶意触发：用户未退出登录时访问攻击者构造的页面（如钓鱼链接），页面中隐藏的代码（如自动提交表单）向目标网站发起请求。
3. 身份冒用：目标网站无法区分请求来源，误认为合法用户操作，执行转账、修改密码等敏感操作。
关键条件：
- 用户已登录且会话未过期
- 目标网站未校验请求来源或令牌（如CSRF Token）
---
二、攻击场景与典型案例
1. 基础攻击类型
- GET型：通过`<img src="目标URL?恶意参数">`直接触发请求（如修改用户信息）。
- POST型：构造隐藏表单并自动提交（如转账操作），攻击代码通过JavaScript实现。
2. 真实案例剖析
- 银行转账漏洞：攻击者在恶意页面中嵌入向银行转账的请求，用户点击后资金被转移至攻击者账户。
- 社交平台信息篡改：通过伪造好友请求链接，诱导用户点击后自动发送垃圾信息。
- 结合XSS的增强攻击：利用XSS漏洞窃取Token，绕过防御措施实现高权限操作。
---
三、防御策略与技术实现
1. 服务端防护方案
- CSRF Token验证：
每次会话生成唯一Token，嵌入表单或请求头，服务端校验其合法性。
<!-- 表单示例 -->
<form action="/transfer" method="POST">
<input type="hidden" name="csrf_token" value="随机令牌值">
<!-- 其他表单字段 -->
</form>
- 同源策略增强：
- 校验HTTP头中的`Referer`或`Origin`字段，拒绝跨域请求。
- 设置Cookie的`SameSite`属性为`Strict`或`Lax`，限制跨站携带Cookie。
- 敏感操作二次验证：
对关键操作（如支付、密码修改）强制要求短信验证码或生物识别。
2. 客户端与工程实践
- 避免使用GET执行写操作：遵循RESTful规范，仅用POST/PUT/DELETE处理数据变更。
- 自动化检测工具：
使用Deemon等框架动态追踪Web应用行为，识别未受保护的脆弱请求。
---
四、总结与最佳实践
CSRF攻击的隐蔽性使其成为Web安全的重要威胁。综合防御需结合：
1. 技术层面：Token验证 + SameSite Cookie + 请求来源检查。
2. 开发规范：遵循最小权限原则，关键操作添加二次验证。
3. 持续监控：使用自动化工具（如Mitch机器学习模型）定期扫描漏洞。