基于web环境下CSRF的攻击和防御

梁 桐彬, 唐 宾徽
四川大学锦城学院计算机与软件学院

摘要

近些年互联网的迅速发展，人们的工作和生活都进入了信息化时代。而Web系统凭借着它动态交互以及跨平台的种种友好的特性在各种系统中脱颖而出，广泛应用在我们生活当中，成为生活中不可或缺的一部分。例如电子商务网站，资讯类门户及视频网站等等。与此同时,在当今的互联网环境下，依然存在着许多的风险因素，Web技术的广泛运用同样也会有类似的担忧。跨站请求伪造CSRF是目前Web网站中主要且容易被忽视的安全威胁之一，攻击者可以利用CSRF产生一些恶意的请求,引导合法的授权用户进行一些恶意操作。整个过程中合法用户完全不知情，并且在web中简单的身份验证只能判断出请求是来自于某个浏览器，不能判断该请求是否是符合用户意愿，因此这类恶意操作很难被快速判断。因此,如何有效地阻止CSRF威胁是Web环境下客户端和服务器交互的一个重要的安全性问题。本文针对CSRF攻击，首先介绍了相关原理技术，再提出了具体的防御方式。

关键词

CSRF；Web；安全威胁

参考

[1] 郑新新,马兆丰,黄勤龙. 跨站请求伪造 (CSRF)分析与检测技术研究[A]. 中国通信学会、辽宁 省通信管理局.第十届中国通信学会学术年会论文集 [C]. 中国通信学会、辽宁省通信管理局:中国通信学 会青年工作委员会,2014:7.

[2] 吕东, 周童.CSRF 攻击与防御方法研究[J]. 电子世界,2017(12):139-140.

[3]孙丹.浅析CSRF攻击方式及防御技术研究[J]. 科技广场,2016(07):78-83.

[4] 徐淑芳. 服务器端CSRF 防御研究[D]. 江西 师范大学,2014.

[5] 陈春艳. 跨站请求伪造攻击的基本原理与防范 [J].电脑知识与技术,2014,10(05):902-904.

[6] 王保锦, 林卉, 王健如, 李桂青. 跨站 请求伪造攻击技术浅析[J]. 网络安全技术与应 用,2020(05):28-29.