ASP.NET MVC 防止 CSRF 的方法

最後更新：2016-12-14 來源：互聯網

上載者：User

創建阿里雲帳戶，並獲得超過 40 款產品的免費試用版；而企業帳戶則可以享有總值 $1200 的免費試用版。立即註冊！

標籤：action csrf 包含 order 隱藏 ansi ora cookie 訪問者

MVC中的Html.AntiForgeryToken()是用來防止跨站請求偽造(CSRF:Cross-site request forgery)攻擊的一個措施,它跟XSS(XSS又叫CSS:Cross-Site-Script),攻擊不同,XSS一般是利用站內信任的使用者在網站插入入惡意的指令碼代碼進行攻擊，而CSRF則是偽造成受信任使用者對網站進行攻擊。

舉個簡單例子，譬如整個系統的公告在網站首頁顯示，而這個公告是從後台提交的，我用最簡單的寫法：

網站後台(Home/Index頁面)設定首頁公告內容，提交到HomeController的Text Action

@using (Html.BeginForm("Text","Home",FormMethod.Post))
{
@:網站公告:<input type="text" name="Notice" id="Notice" />
<input type="submit" value="Submit" />
}

HomeController的Text Action

[HttpPost]
public ActionResult Text()
{
ViewBag.Notice = Request.Form["Notice"].ToString();
return View();
}

填寫完公告，提交，顯示

此時提供給了跨站攻擊的漏洞，CSRF一般依賴幾個條件

(1)攻擊者瞭解受害者所在的網站

(2)攻擊者的目標網站具有持久化授權cookie或者受害者具有當前會話cookie

(3)目標網站沒有對使用者在網站行為的第二授權此時

具體參見http://baike.baidu.com/view/1609487.htm

現假設我知道我要攻擊的網站的地址，譬如是http://localhost:6060/Home/Text,且也滿足2，3的情況。

於是我建立一個AntiForgeryText.html檔案，內容如下：

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" >
<head>
    <title></title>
</head>
<body>
    <form name="badform" method="post" action="http://localhost:6060/Home/Text">
        <input type="hidden" name="Notice" id="Notice" value="你的網站被我黑了。。" />
        <input type="submit" value="黑掉這個網站" />
    </form>
</body>
</html>

在這個html中加了一個隱藏的欄位，Name和Id和網站要接收的參數名一樣。

我點擊了“黑掉這個網站”，呈現如下

這個就是利用了漏洞把首頁的公告給改了，這就是一個簡單的跨站攻擊的例子。

MVC中通過在頁面上使用 Html.AntiForgeryToken()配合在對應的Action上增加[ValidateAntiForgeryToken]特性來防止跨站攻擊。

把上面的代碼改成

@using (Html.BeginForm("Text","Home",FormMethod.Post))
{
@Html.AntiForgeryToken()
@:網站公告:<input type="text" name="Notice" id="Notice" />
<input type="submit" value="Submit" />
}

對應的Action

        [HttpPost]
        [ValidateAntiForgeryToken]
        public ActionResult Text()
        {
            ViewBag.Notice = Request.Form["Notice"].ToString();
            return View();
        }

這樣子我在AntiForgeryText.html中點"黑掉這個網站"，就會出現

這樣就防止了跨站攻擊。

頁面上的Html.AntiForgeryToken()會給訪問者一個預設名為__RequestVerificationToken的cookie
為了驗證一個來自form post，還需要在目標action上增加[ValidateAntiForgeryToken]特性，它是一個驗證過濾器，
它主要檢查

(1)請求的是否包含一個約定的AntiForgery名的cookie

(2)請求是否有一個Request.Form["約定的AntiForgery名"]，約定的AntiForgery名的cookie和Request.Form值是否匹配

其中主要涉及到System.Web.WebPages.dll中的靜態類AntiForgery
Html.AntiForgeryToken()調用了AntiForgery靜態類的GetHtml方法，它產生一個隨機值然後分別儲存到用戶端cookie和頁面的hidden field中，

(1)Request.Cookies[antiForgeryTokenName](預設也是Request.Cookies["__RequestVerificationToken"])

(2)頁面上的hiddenfield

其中cookie的key的名字和頁面hidden field的名字是一樣的，預設都是"__RequestVerificationToken"，如果有提供ApplicationPath的話，那就是由"__RequestVerificationToken"和經過處理後的ApplicationPath組成。

Controller端則通過在Action上增加[ValidateAntiForgeryToken]特性來驗證，
ValidateAntiForgeryTokenAttribute繼承了FilterAttribute和IAuthorizationFilter，通過傳遞匿名委託方法，

委託調用AntiForgery類的Validate方法來實現驗證。

Validate方法中主要驗證Request.Cookies[antiForgeryTokenName]和<input name=antiForgeryTokenName ...>兩個的值是否相同，

如果頁面沒有<input name=antiForgeryTokenName ...>，或者兩個值不相等，就會拋出異常。

使用該方法的缺點是：

1. 這種方法是依賴於 cookie的，如果用戶端禁止了 cookie ，那麼這種防範就會失效。

2. 該方法是對 post請求有效，對 Get 請求無效

3. 對於 AJAX請求，MVC 架構不會自動傳遞 cookie和隱藏欄位。需要自己實現傳輸和讀取。

ASP.NET MVC 防止 CSRF 的方法

本文章原先以中文撰寫並發佈於 aliyun.com，亦設英文版本，僅作資訊用途。本網站不對文章的準確性，完整性或可靠性或其任何翻譯作出任何明示或暗示的陳述或保證。如對該文章有任何疑慮或投訴，請傳送電郵至 info-contact@alibabacloud.com 並提供相關疑慮或投訴的詳細說明。職員會於 5 個工作天內與您聯絡，一經驗證之後，即會刪除該侵權內容。

A Free Trial That Lets You Build Big!

Start building with 50+ products and up to 12 months usage for Elastic Compute Service

Get Started for Free

Sales Support

1 on 1 presale consultation

Chat Contact Sales
After-Sales Support

24/7 Technical Support 6 Free Tickets per Quarter Faster Response

Open a Ticket
Alibaba Cloud offers highly flexible support services tailored to meet your exact needs.

Learn More

ASP.NET MVC 防止 CSRF 的方法

聯繫我們

A Free Trial That Lets You Build Big!

Sales Support

After-Sales Support