web csrf java

跨站點請求偽造攻擊（CSRF）在Web應用程序中非常常見，如果允許，可能會造成重大危害。 如果您從未聽說過CSRF，建議您查看有關它的OWASP頁面 。 幸運的是，阻止CSRF攻擊非常簡單，我將向您展示它們的工作方式，以及如何在基于Java的Web應用程序中以盡可能不干擾的方式防御它們。 想象一下，您將要在銀行的安全網(wǎng)頁上進行匯款，當您單擊轉(zhuǎn)帳選項時，將加載一個表格頁面，該頁面允許您選擇借方和貸方帳戶，并輸入要轉(zhuǎn)移的金額。 當您對選擇滿意后，請按“提交”，然后將表格信息發(fā)送到銀行的網(wǎng)絡服務器，該服務器依次執(zhí)行交易。 現(xiàn)在，將以下內(nèi)容添加到圖片中，一個惡意網(wǎng)站（您認為當然沒有害處）在瀏覽器的另一個窗口/選項卡上打開，而您無辜地在銀行站點中移動了數(shù)百萬美元。 這個邪惡的網(wǎng)站了解銀行的網(wǎng)絡表單結(jié)構(gòu)，當您瀏覽該網(wǎng)站時，它會嘗試發(fā)布從您的賬戶中提取資金并將其存入邪惡的霸主賬戶的交易，之所以能夠做到這一點，是因為您與銀行進行了公開且有效的交易銀行網(wǎng)站使用同一瀏覽器！ 這是CSRF攻擊的基礎。 一種簡單有效的預防方法是在加載初始傳輸表單時生成一個隨機（即不可預測）字符串并將其發(fā)送給瀏覽器。 然后，瀏覽器將這些數(shù)據(jù)與傳輸選項一起發(fā)送，服務器在批準交易進行處理之前對其進行驗證。 這樣，惡意網(wǎng)站即使可以訪問瀏覽器中的有效會話也無法發(fā)布交易。 為了在Java中實現(xiàn)此機制，我選擇使用兩個過濾器，一個用于為每個請求創(chuàng)建鹽，另一個用于驗證它。 由于用戶請求以及隨后應驗證的POST或GET不一定按順序執(zhí)行，因此我決定使用基于時間的緩存來存儲有效鹽字符串列表。 用于為請求生成新的鹽并將其存儲在緩存中的第一個過濾器可以編碼如下： package com.ricardozuasti.csrf;import com.google.common.cache.Cache; import com.google.common.cache.CacheBuilder; import com.google.common.cache.CacheLoader; import com.google.common.cache.LoadingCache; import java.io.IOException; import java.security.SecureRandom; import java.util.concurrent.ExecutionException; import java.util.concurrent.TimeUnit; import javax.servlet.*; import javax.servlet.http.HttpServletRequest; import org.apache.commons.lang.RandomStringUtils;public class LoadSalt implements Filter {@Overridepublic void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)throws IOException, ServletException {// Assume its HTTPHttpServletRequest httpReq = (HttpServletRequest) request;// Check the user session for the salt cache, if none is present we create oneCache<String, Boolean> csrfPreventionSaltCache = (Cache<String, Boolean>)httpReq.getSession().getAttribute("csrfPreventionSaltCache");if (csrfPreventionSaltCache == null){csrfPreventionSaltCache = CacheBuilder.newBuilder().maximumSize(5000).expireAfterWrite(20, TimeUnit.MINUTES).build();httpReq.getSession().setAttribute("csrfPreventionSaltCache", csrfPreventionSaltCache);}// Generate the salt and store it in the users cacheString salt = RandomStringUtils.random(20, 0, 0, true, true, null, new SecureRandom());csrfPreventionSaltCache.put(salt, Boolean.TRUE);// Add the salt to the current request so it can be used// by the page rendered in this requesthttpReq.setAttribute("csrfPreventionSalt", salt);chain.doFilter(request, response);}@Overridepublic void init(FilterConfig filterConfig) throws ServletException {}@Overridepublic void destroy() {} } 我使用Guava CacheBuilder創(chuàng)建鹽緩存，因為它既有大小限制，又有每個條目的過期超時。 為了生成實際的鹽，我使用了由Java 6 SecureRandom支持的Apache Commons RandomStringUtils ，以確保生成強大的種子。 在以AJAX鏈接，發(fā)布或調(diào)用安全交易的頁面結(jié)尾的所有請求中均應使用此過濾器，因此在大多數(shù)情況下，將其映射到每個請求是一個好主意（也許除了靜態(tài)內(nèi)容（例如圖像） ，CSS等）。 您的web.xml中的映射應類似于： ...<filter><filter-name>loadSalt</filter-name><filter-class>com.ricardozuasti.csrf.LoadSalt</filter-class></filter>...<filter-mapping><filter-name>loadSalt</filter-name><url-pattern>*</url-pattern></filter-mapping>...

就像我說的，要在執(zhí)行安全交易之前驗證鹽，我們可以編寫另一個過濾器：

package com.ricardozuasti.csrf;import com.google.common.cache.Cache; import java.io.IOException; import javax.servlet.*; import javax.servlet.http.HttpServletRequest;public class ValidateSalt implements Filter {@Overridepublic void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)throws IOException, ServletException {// Assume its HTTPHttpServletRequest httpReq = (HttpServletRequest) request;// Get the salt sent with the requestString salt = (String) httpReq.getParameter("csrfPreventionSalt");// Validate that the salt is in the cacheCache<String, Boolean> csrfPreventionSaltCache = (Cache<String, Boolean>)httpReq.getSession().getAttribute("csrfPreventionSaltCache");if (csrfPreventionSaltCache != null &&salt != null &&csrfPreventionSaltCache.getIfPresent(salt) != null){// If the salt is in the cache, we move onchain.doFilter(request, response);} else {// Otherwise we throw an exception aborting the request flowthrow new ServletException("Potential CSRF detected!! Inform a scary sysadmin ASAP.");}}@Overridepublic void init(FilterConfig filterConfig) throws ServletException {}@Overridepublic void destroy() {} } 您應該為每個需要確保安全的請求（例如，檢索或修改敏感信息，轉(zhuǎn)移資金等）配置此過濾器，例如： ...<filter><filter-name>validateSalt</filter-name><filter-class>com.ricardozuasti.csrf.ValidateSalt</filter-class></filter>...<filter-mapping><filter-name>validateSalt</filter-name><url-pattern>/transferMoneyServlet</url-pattern></filter-mapping>... 在配置完兩個servlet之后，所有受保護的請求都將失敗:)。 要解決此問題，您必須在每個以安全URL結(jié)尾的鏈接和表單帖子中添加csrfPreventionSalt參數(shù)，該參數(shù)包含具有相同名稱的request參數(shù)的值。 例如，在JSP頁面內(nèi)以HTML形式： ... <form action="/transferMoneyServlet" method="get"><input type="hidden" name="csrfPreventionSalt" value="<c:out value='${csrfPreventionSalt}'/>"/>... </form> ...

當然，您可以編寫一個自定義標簽，一個不錯的Javascript代碼，或在每個所需的鏈接/表單中添加新參數(shù)的方法。

參考： Ricardo Zuasti博客博客上的JCG合作伙伴 Ricardo Zuasti 阻止了Java Web應用程序中的CSRF 。

翻譯自: https://www.javacodegeeks.com/2012/06/preventing-csrf-in-java-web-apps.html

web csrf java

總結(jié)

以上是生活随笔為你收集整理的web csrf java_在Java Web应用程序中阻止CSRF的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。