逻辑漏洞挖掘之CSRF漏洞原理分析及实战演练

一、前言

2月份的1.2亿条用户地址信息泄露再次给各大公司敲响了警钟，数据安全的重要性愈加凸显，这也更加坚定了我们推行安全测试常态化的决心。随着测试组安全测试常态化的推进，有更多的同事对逻辑漏洞产生了兴趣，本系列文章旨在揭秘逻辑漏洞的范围、原理及预防措施，逐步提升大家的安全意识。第二篇选取了广为熟知的CSRF漏洞进行介绍。
二、CSRF漏洞介绍

1、CSRF漏洞的定义
跨站请求伪造（Cross-site request forgery，简称CSRF），攻击者利用受害者身份发起了HTTP请求，导致受害者在不知情的情况下进行了业务操作，如修改资料、提交订单、发布留言或评论等
2、CSRF主要攻击形式
① GET类型的CSRF
这类攻击非常简单，只需要一个HTTP请求：
② POST类型的CSRF
这种类型的 CSRF 利用起来通常使用的是一个自动提交的表单，访问问该页面后，表单会自动提交，相当于模拟用户完成了一次 POST 操作。可见这种类型的 CSRF 与第一种一样，都是模拟请求，所以后端接口也不能将安全寄托在仅允许 POST 请求上。
③ 链接类型的 CSRF

链接类型的CSRF并不常见，比起其他两种用户打开页面就中招的情况，这种类型需要用户点击链接才会触发，但本质上与前两种一样。这种类型通常是在论坛发布的图片中嵌入恶意链接，或者以广告的形式诱导用户中招，攻击者通常会以比较夸张的词语诱骗用户点击，例如：