码迷,mamicode.com
首页 > Web开发 > 详细

ASP.NET MVC与CSRF(跨站脚本)攻击

时间:2017-08-17 23:39:20      阅读:1626      评论:0      收藏:0      [点我收藏+]

标签:参考   通过   login   浏览器   test   区别   syn   orm   manage   

CSRF

一 何为CSRF

CSRF(Cross-site request forgery跨站请求伪造,也被称成为“one click attack”或者session riding,通常缩写为CSRF或者XSRF,是一种对网站的恶意利用。需要注意的是,CSRF与XSS的区别,CSRF是其他网站进行对你的网站的攻击。

关于CSRF的详细信息请看:https://baike.baidu.com/item/CSRF/2735433

 

二 CSRF的危害

对CSRF进行简单了解后,我们先来看看CSRF攻击受害者需要几步。

受害者必须依次完成两个步骤:

  1.登录受信任网站A,并在本地生成Cookie。

  2.在不登出A的情况下,访问危险网站B。

此时危险网站B拥有受害者在信任网站A的登录验证cookie,假设Cookie没有失效或者过期,那么危险网站B就可以发起假冒的请求,来获取受害者在信任网站A的信息或者在受害者不知情的情况下,进行资金转移等。

 

三 MVC是如何防止CSRF的

MVC框架主要通过在form内添加@Html.AntiForgeryToken()和在action上添加 [ValidateAntiForgeryToken]进行防止。

具体代码如下:

1. 在cshtml页面加上 @Html.AntiForgeryToken()

<section id="loginForm">
@using (Html.BeginForm("Login", "Account", new { ReturnUrl = ViewBag.ReturnUrl }, FormMethod.Post, new { @class = "form-horizontal", role = "form" }))
{
@Html.AntiForgeryToken()
<h4>使用本地帐户登录。</h4>
<hr />
@Html.ValidationSummary(true, "", new { @class = "text-danger" })
<div class="form-group">
@Html.LabelFor(m => m.Email, new { @class = "col-md-2 control-label" })
<div class="col-md-10">
@Html.TextBoxFor(m => m.Email, new { @class = "form-control" })
@Html.ValidationMessageFor(m => m.Email, "", new { @class = "text-danger" })
</div>
</div>
<div class="form-group">
@Html.LabelFor(m => m.Password, new { @class = "col-md-2 control-label" })
<div class="col-md-10">
@Html.PasswordFor(m => m.Password, new { @class = "form-control" })
@Html.ValidationMessageFor(m => m.Password, "", new { @class = "text-danger" })
</div>
</div>
<div class="form-group">
<div class="col-md-offset-2 col-md-10">
<div class="checkbox">
@Html.CheckBoxFor(m => m.RememberMe)
@Html.LabelFor(m => m.RememberMe)
</div>
</div>
</div>
<div class="form-group">
<div class="col-md-offset-2 col-md-10">
<input type="submit" value="登录" class="btn btn-default" />
</div>
</div>
<p>
@Html.ActionLink("注册为新用户", "Register")
</p>
@* 为密码重置功能启用帐户确认后,请启用此项一次
<p>
@Html.ActionLink("Forgot your password?", "ForgotPassword")
</p>*@
}
</section>

2. 在相应的action方法上添加[ValidateAntiForgeryToken]

 

//
// POST: /Account/Login
[HttpPost]
[AllowAnonymous]
[ValidateAntiForgeryToken]
public async Task<ActionResult> Login(LoginViewModel model, string returnUrl)
{
if (ModelState.IsValid)
{
var user = await UserManager.FindAsync(model.Email, model.Password);
if (user != null)
{
await SignInAsync(user, model.RememberMe);
return RedirectToLocal(returnUrl);
}
else
{
ModelState.AddModelError("", "用户名或密码无效。");
}
}

// 如果我们进行到这一步时某个地方出错,则重新显示表单
return View(model);
}

 

3.MVC在预防CSRF上的原理

 @Html.AntiForgeryToken()方法会在浏览器上做两件事:

  1. 页面上加上一个标签<input name="__RequestVerificationToken" type="hidden" value="密文A" />

  2. 在浏览器上生成一个名为__RequestVerificationToken的Cookie,值为“密文B”

form表单提交时,会将页面上的密文A和浏览器的密文B一起提交给服务器端,服务器端分别对密文A和密文B进行解密,比对密文A和密文B解密后的明文字符串是否相同,如果相同,则验证通过。

那么密文A和密文B是从何而来呢,其实是上面的@Html.AntiForgeryToken()方法随机生成了一串明文,然后再对明文加密放在页面和cookie内,但是加密出来的密文不同。密文A每次刷新都会更新成不同的密文,但是一个浏览器进程内,COOKIE的密文好像不变(自己在firefox内试了几次,有兴趣的同学可以自己尝试一下)

四 AJAX请求如何防止CSRF

上面说了MVC框架如何防止CSRF的,但是只限于FORM表单提交,那么问题来了,在一般ajax请求时,没有form表单提交,这个时候该如何防止CSRF呢?网络上有很多不错的答案。我在写该篇随笔的时候也借鉴了很多前辈的方法。

下面介绍我的方法:

 

1. 在全局共享页面,添加密文生成代码:

@using (Html.BeginForm(null, null, FormMethod.Post, new { id = "__AjaxAntiForgeryForm" }))
{
@Html.AntiForgeryToken()
}

2. 收紧ajax请求方法入口,写扩展ajax方法避免重复工作,一定要注意黄色标记

$.extend({
  z_ajax: function (request) {
      var form = $(‘#__AjaxAntiForgeryForm‘);
      var antiForgery = $("input[name=‘__RequestVerificationToken‘]",form).val();
      var data = $.extend({ __RequestVerificationToken: antiForgery }, request.data);
      request = $.extend({
      type: "POST",
      dataType: "json",
      contentType: ‘application/x-www-form-urlencoded; charset=utf-8‘,
      }, request);
      request.data = data;

  $.ajax(request);
}

3. 在需要的POST请求上,添加[ValidateAntiForgeryToken]

[HttpPost]
[ValidateAntiForgeryToken]
public JsonResult Test(string testString)
{
  var trustedString = Encoder.HtmlEncode(testString);
  return Json(trustedString);
}

4. 实现具体的ajax请求,该请求会自动将密文带到服务端,由服务端的特性验证

$(function () {
  $("#test").click(function ()
  {
    $.z_ajax(
    {
      url: "/Home/Test",
      data: {testString:‘333333‘},
      error: function (request, textStatus, errorThrown) {
        console.log(request, textStatus, errorThrown);
      },
      success: function (response)
      {
        alert(123);
      }
    });
  })
})

 

经过以上的讲解,大家应该对MVC 防止CSRF有了一定的认识。

正如上面所说,在编写这篇随笔的时候,参考了很多前辈的思路和结晶。在这里就不一一列举了,如果有什么问题,欢迎大家随时反馈。

以上案例使用VS2013自动生成的MVC5站点作为解析。

 

ASP.NET MVC与CSRF(跨站脚本)攻击

标签:参考   通过   login   浏览器   test   区别   syn   orm   manage   

原文地址:http://www.cnblogs.com/seanshidev/p/7384301.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!