为什么 Cookie 会有 sameSite 属性？——真实案例解读 CSRF 的三种攻击方式

2023-12-16 17:25:01

引言

互联网安全对用户体验至关重要。Cookie 是网络服务器存储在用户浏览器中的文本文件，其中包含有关用户的信息，例如登录状态和会话数据。然而，Cookie 也可能成为网络犯罪分子的攻击目标。sameSite 属性是为缓解此类攻击而引入的，有助于保护用户免受跨站请求伪造 (CSRF) 攻击。

CSRF 攻击是一种欺骗用户浏览器发送恶意请求的攻击形式。攻击者通过诱使用户访问恶意网站或单击恶意链接来执行此操作。恶意网站或链接包含一个精心构造的请求，该请求将以用户的身份向合法网站发送。如果合法网站信任用户的 Cookie，则恶意请求将被执行，即使用户未意识到该请求。

sameSite 属性旨在防止 CSRF 攻击，因为它限制了 Cookie 在跨站请求中发送。此属性具有以下三个值：

真实案例：CSRF 攻击的三个方式

为了进一步了解 CSRF 攻击，让我们通过一个真实案例来探讨其三种常见方式：

表单提交： 攻击者创建一个恶意表单并将其托管在自己的网站上。该表单包含一个指向合法网站的隐藏字段，其中包含一个精心构造的请求。当用户访问恶意网站并提交表单时，恶意请求将以用户的身份向合法网站发送。
图像加载： 攻击者托管一个恶意图像，其 src 属性指向合法网站。当用户访问恶意网站时，浏览器将自动加载恶意图像，并向合法网站发送一个精心构造的请求。
JavaScript 脚本： 攻击者创建一个恶意 JavaScript 脚本并将其注入合法网站。该脚本使用 XMLHttpRequest 对象发送恶意请求，从而绕过浏览器的同源策略。

sameSite 属性是预防 CSRF 攻击的一种有效方法。此外，还可以采取以下其他措施：

使用 HTTP Only 属性： HTTP Only 属性可防止 JavaScript 访问 Cookie，从而降低 CSRF 攻击的风险。
启用 CSRF 令牌： CSRF 令牌是一种唯一值，由服务器生成并在每个请求中包含。攻击者很难猜测或窃取 CSRF 令牌，从而增加了 CSRF 攻击的难度。
对用户输入进行验证： 对用户输入进行仔细验证可以帮助检测和阻止恶意请求。