Flask模拟实现CSRF攻击的方法

# Flask 模拟实现 CSRF 攻击方法详解 CSRF（Cross Site Request Forgery，跨站请求伪造）是一种网络攻击手段，它利用了用户已经登录并持有有效会话（如 Cookie）的情况，使得攻击者可以在不知情的情况下，通过诱使用户执行非预期的操作来达到攻击目的。例如，攻击者可以伪造一个请求，让用户在不知情的情况下转账或更改其个人信息。 ## CSRF 攻击原理 1. 用户在浏览器中打开一个合法网站（WebA），并登录成功，此时服务器会设置一个包含用户身份信息的 Cookie。 2. 用户在同一个浏览器中打开了另一个网站（WebB），这个网站由攻击者控制。 3. 攻击者在 WebB 中设计了一个表单，这个表单的提交目标指向 WebA 的某个敏感接口（如转账或修改密码）。 4. 用户在 WebB 上填写表单并提交，由于浏览器会自动携带 WebA 的 Cookie，因此这个请求会被识别为合法用户发起的。 5. 如果 WebA 没有对这类敏感操作进行 CSRF 防御，攻击者的请求就会被服务器处理，从而导致用户账户受到影响。 ## 防止 CSRF 攻击的措施 防止 CSRF 攻击通常采用以下方法： 1. **验证 Token**：服务器在生成页面时，生成一个唯一的 CSRF Token，并将其存储在用户的会话（Session）或 Cookie 中。同时，将这个 Token 放入 HTML 表单的一个隐藏字段。当用户提交表单时，服务器会检查表单中和 Cookie 中的 Token 是否一致。 2. **Referer 检查**：虽然不完全可靠，但可以通过检查请求的 Referer 头部是否来自自己的网站来简单防御 CSRF。 3. **Double Submit Cookies**：在表单中添加一个与服务器预先设置在 Cookie 中相同的隐藏字段，提交时检查两者是否一致。 ## 示例：Flask 未进行 CSRF 防护的 WebA 后端代码 以下代码展示了如何使用 Flask 框架构建一个简单的 Web 应用，但未进行 CSRF 验证，因此存在 CSRF 攻击的风险： ```python from flask import Flask, render_template, make_response, redirect, request, url_for app = Flask(__name__) @app.route('/', methods=["POST", "GET"]) def index(): if request.method == "POST": # 获取表单提交的用户名和密码 username = request.form.get("username") password = request.form.get("password") # 检查用户名和密码 if not all([username, password]): print('参数错误') else: if username == 'laowang' and password == '1234': # 设置 Cookie 表示登录成功 response = redirect(url_for('transfer')) response.set_cookie('username', username) return response else: print('密码错误') return render_template('temp_login.html') @app.route('/transfer', methods=["POST", "GET"]) def transfer(): # 从 Cookie 中获取用户名 username = request.cookies.get('username', None) # 如果没有用户名，表示未登录 if not username: return redirect(url_for('index')) if request.method == "POST": to_account = request.form.get("to_account") money = request.form.get("money") print('假装执行转操作，将当前登录用户的钱转账到指定账户') return '转账 %s 元到 %s 成功' % (money, to_account) # 渲染转账页面 response = make_response(render_template('temp_transfer.html')) return response if __name__ == '__main__': app.run(debug=True, port=9000) ``` ## 添加 CSRF 防御的改进措施 要为这个应用添加 CSRF 防御，我们可以按照以下步骤操作： 1. 引入 `flask_wtf` 库，它提供了 CSRF 支持。 2. 创建一个 CSRF Token，并将其存储在用户的 Session 或 Cookie 中。 3. 使用 `flask_wtf.Form` 创建表单，它会自动生成和验证 CSRF Token。 4. 在后端接口中，验证接收到的 CSRF Token 是否有效。 以下是一个简化的示例，展示了如何在 Flask 应用中集成 CSRF 防御： ```python from flask_wtf import FlaskForm from wtforms import StringField, PasswordField, SubmitField from wtforms.validators import DataRequired from flask_wtf.csrf import CSRFProtect from flask import Flask, render_template, redirect, request, url_for, session app = Flask(__name__) csrf = CSRFProtect(app) class LoginForm(FlaskForm): username = StringField('username', validators=[DataRequired()]) password = PasswordField('password', validators=[DataRequired()]) submit = SubmitField('Login') @app.route('/', methods=["POST", "GET"]) def index(): form = LoginForm() if form.validate_on_submit(): # 这里应添加数据库验证或其他验证逻辑 session['username'] = form.username.data return redirect(url_for('transfer')) return render_template('temp_login.html', form=form) @app.route('/transfer', methods=["POST", "GET"]) def transfer(): if 'username' not in session: return redirect(url_for('index')) if request.method == "POST": # 从表单中获取转账信息 to_account = request.form.get("to_account") money = request.form.get("money") # 这里应添加转账逻辑，验证并执行转账操作 return render_template('temp_transfer.html') if __name__ == '__main__': app.run(debug=True, port=9000) ``` 请注意，这只是一个基础的 CSRF 防御实现，实际应用中可能需要考虑更多的安全因素，如 Token 的有效期、刷新机制等。为了确保应用的安全性，建议遵循最佳实践，并使用成熟的库来处理这些复杂的安全问题。